PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

, Y( U" Z5 q! E2 U5 n5 q   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

     
2 D- s5 @  h9 e* o* z; W
! k9 i3 j  r* g* u2 ^6 P其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

! _" Y4 O+ c6 e- A" Q1 l! \过程不明显的我就省略了。

在preview.php 中第7行

( s7 r3 a/ l1 x) i  z& k$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到
8 Y5 c1 N) w+ t! K6 p
1
8 w9 F7 `9 j% l9 y# ~2
3
1 b7 u7 D' `- @3 R; X, `% [4
% d; Q$ K* |! f! N& O4 c! s5
1 m3 ~2 h! C+ Q! T& ?  g: O2 q6 function new_stripslashes($string)
{
* F+ }/ `) `1 @7 w    if(!is_array($string)) return stripslashes($string);
$ I2 Z7 z% g/ M1 B6 _    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
0 m7 c: |) r1 h: L8 q) @* p    return $string;
}

这个函数的功能不用解释了吧

所以我们看具体应用点再哪？
4 t8 L1 J& Q) Q
1
2
# {( J- i, Q. i$ k3
3 k; V8 l/ }7 b9 u* e6 W2 ]4
& o7 `; U9 @9 [+ r) q5
' V2 a/ E! i7 Z: M% M6
7
8
9
4 P7 Y# t: M& i% `- j10
11
12
1 i* j2 a3 u2 ]13
14
# ~, R* f: u  A4 L! N* t' d15
16
17
0 O' n; n: U+ G$ ?' E18
19
1 `. S0 {, X2 X. g5 I8 `1 D5 [20
  Q$ C% W9 U; m" m21
22
9 o& L" [9 q) Y3 {, t( b" u* j% r  V; d  B23
' d4 V( U. G' v. j  c4 `0 \  }* w24
6 t: {' _9 A2 h% h) P6 t+ A25
26
# F7 m7 u/ g2 C3 \2 v2 Q27
28
" T9 h' d" _8 D29
& G' R/ U5 k3 l& E5 G% A30
31
32
/ D# D- q; A3 P33
34
35 require dirname(__FILE__).'/include/common.inc.php';
8 h0 p) z& S. c0 J( Wif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
/ o5 u( {7 Q) q6 vrequire_once CACHE_MODEL_PATH.'content_output.class.php';
: u) f  G0 Y# _require_once 'output.class.php';
6 M& g2 q- ~+ ~- v8 A5 uif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
/ {+ i1 W% L3 f4 }$C = cache_read('category_'.$r['catid'].'.php');
1 e  W( ~, Y' k+ c  V) @& \* a$out = new content_output();
/ G( f9 R% \/ M: D. Y9 G" c% X: i$r['userid'] = $_userid;
$r['inputtime'] = TIME;
" G) a2 J0 R6 k( x$data = $out->get($r);
extract($data);
$userid = $_username;
% m7 v- \5 g, e# v6 ~6 ffor($i=1;$i<10;$i++)
9 i5 b0 a' v( a9 K# r: B{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
& R$ J9 e, s6 f+ u5 R}
6 X. k# K- [: ]9 n7 N% k0 G* ?        
; x* B( J9 x3 W  w0 ?+ F$array_images = $str_attachmentArray;
; a) ~% p; x& V2 X) E5 C$images_number = 10;
$allow_priv = $allow_readpoint = 1;
( o8 z2 j7 f; t0 g) E+ s$ F$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
$pages = $titles = '';
# Z* m8 `/ |  Hif(strpos($content, '