PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

8 G" f2 @, R4 p- K& p1 K   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

5 G. X9 C; H. _( |- Gauthor: 西毒    blog: http://hi.baidu.com/sethc5
0 Z- i  o/ h1 m/ ]: `
' l! O7 q9 G) U' {& n* l  h     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
; I0 S  m! M2 j
6 V/ G; |: Z" M) w6 t& B: Q, t. P过程不明显的我就省略了。

在preview.php 中第7行

1 `7 f8 H1 `; p9 ^) r0 H' Q* t$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数
1 H- ?5 K$ H  g; t9 B) O" S
在global.func.php中可以找到

1
1 i+ T6 l3 c3 e' L) Y2
3
$ U  L/ @" B; S4
5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
9 N7 F$ B, o% }3 F  D    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
% [5 T/ S/ `, z) w" R6 m    return $string;
% }! m2 a& D! J" }! t. R}

; X9 E) _, n1 a- O6 ^; ~# Y这个函数的功能不用解释了吧
. M) A$ \  v2 n" c
. j* F9 T9 X# l8 e所以我们看具体应用点再哪？
2 f4 k6 {# \1 F) L; ?
1
2
3 ]+ g% F: d% ]1 G" L2 c3
3 u# r. n8 n, V# Q9 J! B4
5
6
5 m' `" Z8 Q# U7
; A! o0 o) n! Q! B' k5 f8
* C5 y) @( r9 L9
10
11
) X, |6 p; O" w, b- l$ i* H' }12
* m; P! |5 O- J, Y6 ~1 q( B+ H13
# u6 E* @. U2 f  J  u14
8 B2 G8 Q  u! F1 r2 T15
16
17
18
# P, D* Q  a: H. q0 D% ?9 U0 M19
5 A! v9 e9 B7 L7 d20
  Z' i6 m1 C0 i5 S/ i# M21
# B/ `7 m& R% p0 l7 B* p22
& E! S3 _1 L- U23
: [8 D9 g4 b, ^- J2 x. t24
25
6 q1 u4 i1 n$ E26
27
! m9 P+ T2 k2 n' P  i  p  t28
$ c$ h; X+ ^' |3 e' q29
30
31
32
33
1 i! p% ^7 x% x0 g. @$ N34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
& I$ [$ F) F" [9 L0 H% [require_once CACHE_MODEL_PATH.'content_output.class.php';
8 Y; {3 P0 I: r! P1 a) p( Vrequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
7 A4 B' s0 r) v+ F2 J$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
4 D) @- V6 c9 k0 q' C0 g/ T$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
! F4 ^* A0 J( k$data = $out->get($r);
2 g6 g9 z1 W; O6 i+ g7 h2 Cextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
* z! i- L, q  L' f1 M0 a. W3 M{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
' u1 z( R$ Z5 \* ?& @$ B8 @, m; [& E}
        
$array_images = $str_attachmentArray;
$images_number = 10;
9 H% h& q  ]9 c7 `# z" W$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '