PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

- K& J7 Q5 @; g4 D4 h   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）
8 Y8 ?$ p0 k5 g( u$ P
author: 西毒    blog: http://hi.baidu.com/sethc5
% x* s/ S  U+ Z- P
     
+ E/ P# x, n7 n0 E
其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
; J1 B5 k4 @. @0 {- I! g, l: a
" I9 \- U+ t' |8 U) J; x/ \  i过程不明显的我就省略了。

% U+ i$ I: s- |+ f, d在preview.php 中第7行
6 e0 X4 O, O8 A9 f- E
0 V4 C( T. {3 e* ?- k/ s$r = new_stripslashes($info);

$ V9 K& J" e1 T) W; X我们跟踪new_stripslashes这个函数
& ^6 |9 z  I4 c5 P- ^( W, ]6 m
. ]* V0 U# k0 S' g, d. A在global.func.php中可以找到
6 i9 |% ]. f0 N  D* S
1
2
3
3 f1 q2 y* W- Y5 c4
5
4 T& d7 N) T# U6 function new_stripslashes($string)
{
* G4 e0 S3 y; p    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}
3 C+ A3 I0 g7 |) E' O3 x' ~- W1 @
这个函数的功能不用解释了吧
4 y6 i& H$ G- F# n
- i+ D+ `" E8 B* }! y1 r所以我们看具体应用点再哪？
4 e9 E! q! b& A3 R/ h
- h/ J& Z& ?  a" J- U1
2
3
4
5
/ V! @* c+ d3 l" a. l# e9 G) C6
# z; X; G4 K  e- @/ D( }7
; D2 f+ B  Z/ J$ ?8
6 k2 d5 l3 K% l3 h; }3 o9
' M  g( [& o9 E9 W10
11
- _; h3 Q; ~- o% ~7 _12
3 I4 d; C- \6 _# U13
5 {* Z( w5 ^0 s1 `+ C; b! x. G0 h) q14
9 J- a5 `) n$ T/ D/ C1 G15
16
17
18
19
' H! K  N; F' N- Q- n( v1 x- E20
7 |& @) B; a+ Q7 j3 {21
22
23
24
25
9 ?6 k- P" K  Q: R: v4 L26
27
- P/ z9 A0 X' u/ S- ~" ?28
29
9 T7 ~9 S( H! s, Q  O* `9 H30
31
7 A$ C8 G% Q( h3 h; _+ y32
33
34
5 ?1 ~; I$ M; _8 d35 require dirname(__FILE__).'/include/common.inc.php';
( N- d; z! S+ }0 h' ]8 z. b+ G6 z4 pif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
" I. r9 z. V0 t. grequire_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
+ S; o6 a3 i5 X% S& pif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
2 H, ]4 L4 ^3 P$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
' v% ^' v6 H. D. ~2 m7 ?3 x$out = new content_output();
$r['userid'] = $_userid;
! ^( o. t& R4 a2 i5 k$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
9 a, I: x. C5 K' y' V" V; v& `$userid = $_username;
, L4 t! v" N! j/ Q: ]0 [/ dfor($i=1;$i<10;$i++)
{
2 Z9 W! |/ D3 Q+ R1 L% S0 v$ j9 T$ Q    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
( p) [9 L( x. n( o3 _- A* L}
/ ^! U1 U! t' I0 a        
  K" `' ^% W# S5 C$array_images = $str_attachmentArray;
" j7 C. F- _  H& {9 }! _$images_number = 10;
% r3 X9 |  @6 D+ s* h! ^4 S$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
4 n; D5 A2 w$ H( l$pages = $titles = '';
if(strpos($content, '