PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
+ |2 r; p3 w" Q6 ~$ P
" e' t9 F- Y6 w  T- D   要转摘的兄弟们，你们还是带个版权吧！   

0 S2 O3 N8 B1 ?/ X5 y  组织 : http://www.safekeyer.com/   (欢迎访问）
1 G* h" m0 R$ Y0 X% c) d8 E, s' R
  o1 \& c1 F* tauthor: 西毒    blog: http://hi.baidu.com/sethc5
7 }! r% O0 x1 r* P3 F6 P, j
- Q0 }8 S' p# Z. X" o4 w3 D     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

( b  _6 D' h, i3 N过程不明显的我就省略了。
/ `1 {8 q" R0 p$ Y0 g- b1 ?; \
) ~2 |! r9 k4 F) U6 Z3 @: {' |在preview.php 中第7行
" X) @, F' T* _0 r. j+ S
$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数
8 Y% G6 ?% J; ^- K- ^) B7 u
在global.func.php中可以找到

1
2
: L" ]+ Q) j% N% H. S0 t3
4
8 l7 r9 ^1 o5 U7 [5
8 i9 f% R. w, F2 f! r6 function new_stripslashes($string)
# ^2 |* H# v/ B: }5 ?{
    if(!is_array($string)) return stripslashes($string);
# U: e# O& g* N1 e. Q, m    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
. b& C# t% Q. `0 ]5 U9 l5 s- }}

这个函数的功能不用解释了吧

所以我们看具体应用点再哪？
3 }; g$ T9 ]: v( x9 y6 S
1
6 ~/ P% O; K6 {2
9 d6 {( O7 g& |9 N1 _* N5 c& F* M3
( m0 s6 ^, F. H& X. v6 a4
) r+ J) w% F- [% e! l5
6
: X$ S6 O- ~2 s% [' Q# i# M7
# _6 f  D( K+ d& E7 G' c; x8
/ L/ j! A% ~. a/ _8 Z' X9
5 p8 Y" [9 `; W# e3 o/ n* m6 H10
11
0 Y( Z, X& b3 S% k* ^8 [2 {0 E( r12
% n5 g: o# D" v5 D13
14
8 Z' g5 q" p% h( _15
, E0 \' i9 R5 J) v16
17
; d3 i& P' N: a' z  ~$ E' ?18
19
20
: l7 c: ~  ]2 m! ]' `21
22
3 J  z" w7 c% _! s; G# E; {, X23
/ t1 s8 Q) c  K( \! V. |& L8 t9 _24
25
& }; @3 ^9 x& }+ u! f3 f- u. M26
0 R5 F4 t+ g* @! W! b- A9 n27
28
6 f: ?0 t6 Y3 m$ w  q29
30
9 y9 L4 D% r& W$ ^4 h31
32
33
1 `  w( u0 \, L' B34
35 require dirname(__FILE__).'/include/common.inc.php';
" _8 [* v6 ]7 X& E( E( V, Bif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
: L" ~3 s) k$ ]$ W  O+ brequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
* d& s* J, Q: e8 ^4 j; R" \$data = $out->get($r);
extract($data);
! X( H, k$ G/ j& c% \3 X- u$userid = $_username;
+ ~0 ^# L* X$ Ffor($i=1;$i<10;$i++)
' O  c/ Q5 S5 J# [{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
( N5 j1 r- ~% e2 K5 m6 J}
        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
# U6 B+ w- Y: N5 z; U& ~* t' \$updatetime = date('Y-m-d H:i:s',TIME);
: X6 G0 |* o) d9 r- S, a5 w        
$page = max(intval($page), 1);
$pages = $titles = '';
. D% b) U  L0 T1 P" Aif(strpos($content, '