PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
5 Q  W; m, z4 L( v: }
( Q' m9 j9 F% O1 H' l' E  组织 : http://www.safekeyer.com/   (欢迎访问）

) Z, `* _; Z' \% B6 V" c9 l. Cauthor: 西毒    blog: http://hi.baidu.com/sethc5

2 L5 y8 o) i! |$ y( g, _& |     
  B% J, s- H2 G: b; \, k5 k
1 `) S9 @+ F/ O) e% l* W其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
! M6 p4 m! L  ~
% L4 w: @6 ?) x过程不明显的我就省略了。
, w1 R& B4 V2 x% |' v1 S0 p
在preview.php 中第7行

$r = new_stripslashes($info);
% I: j/ \' w0 f" I  h. u" q3 ?( G0 Q
- }8 R3 n+ P/ y; R  `- ]# }# `我们跟踪new_stripslashes这个函数

在global.func.php中可以找到
# }, p; f' V( b7 l
1
2
- ^7 C/ h8 p2 _8 Z4 w3
4
5
6 function new_stripslashes($string)
- t- m; c: ~) a* o' Q{
    if(!is_array($string)) return stripslashes($string);
* }$ j7 C3 f  J6 b' m0 ~    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
5 z) w6 @8 U! A/ B    return $string;
}
+ c, f+ H. \0 H: I$ ?
  `2 m! p! Y! F4 `这个函数的功能不用解释了吧
* p7 I% G* z' F" h
6 s$ O8 Z  K4 F9 _" Y9 \) \8 X2 |. m所以我们看具体应用点再哪？
* z# d4 [0 p  n7 L, k( w  c/ e. B7 Y. U
% N8 U4 y6 V  u0 e6 z, i" h8 k6 q1
2
' h2 Z4 g: P$ a' P  ^; O$ M3
; b9 V- T2 r1 q, w7 _2 M4
+ n3 p; G2 M2 Y+ n% M5
# Z3 K9 {2 L/ t4 i; R% M/ E" [6
7
8
" T0 i5 G, W7 u+ F9
10
11
12
13
14
. d7 Q- f: @  s7 E$ Q# B/ |15
) x; A2 V6 V5 o; a" f5 e16
) V3 q8 W7 [4 ~2 g% y7 C% T# f3 _, Z17
# \7 R9 B) ?6 L# Z: \, c18
19
" B$ X1 M/ b2 Y* X4 t20
8 n0 X; y$ h& r5 t0 r21
22
1 n" O# K+ {+ d8 R, ^2 y23
; y+ i0 o' ?4 [' n1 j& s24
25
26
5 I; i: r( h6 r/ H9 ~, M% j9 z* o27
28
, K0 d' r# i6 A8 O# X% P29
# @! h6 C! X) u  l1 d30
2 D! W6 B7 Q. F7 O6 n. ^$ W31
2 e9 d1 J8 q" i: y' |32
* h9 _2 P' ^, C3 \+ n33
4 e& J* |, L; |& Y34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
1 S9 y( l& c  V( Rrequire_once 'output.class.php';
7 X- c: |: t3 K: q" ?5 {) y; ]- i% Tif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
' y& X4 }6 f- F: X) W0 K$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
1 y0 P; T" X- |! R" H3 K$r['inputtime'] = TIME;
* \' u6 e- W4 [1 C$ g  c' m  c$data = $out->get($r);
+ c2 W) \+ _! a) w& ]/ T' q* {9 U; Vextract($data);
# W2 q* ?  q0 q) e: L$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
3 K! D( B! S1 `# O: I$updatetime = date('Y-m-d H:i:s',TIME);
8 n* ~( s4 r, l: S3 B$ n5 b        
+ c. s  j, I! z$page = max(intval($page), 1);
$pages = $titles = '';
! z/ }2 W0 Z* ]5 T' o# c& s# Fif(strpos($content, '