PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
! s+ L7 J* V  N; V
  组织 : http://www.safekeyer.com/   (欢迎访问）
& p5 @9 c9 |, `2 i; V3 N
7 Z% H3 F, F  sauthor: 西毒    blog: http://hi.baidu.com/sethc5
  A" |, a' z( ~2 k6 A7 A0 \9 a
+ o, m+ X! ?$ }% J  y2 |     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
! [, S7 P" i2 o1 q, C
过程不明显的我就省略了。
9 r0 Q1 }+ m) J6 ~" E
" Z: Q& \9 e# Z0 X# ?0 w; J在preview.php 中第7行
4 F* ~  N, I, Q. k+ g& C6 O3 ^
$r = new_stripslashes($info);

0 B; i+ x+ y. Y! K4 b$ M我们跟踪new_stripslashes这个函数

在global.func.php中可以找到
9 X1 F' t1 b2 e; }: T
& x& H  x* I$ ]5 q) C3 a1 h1
1 [* k' p2 o2 x1 O8 U2
3
4
5
6 function new_stripslashes($string)
6 |3 o1 s* p1 O7 D{
+ }& r; R2 D3 R. F: H3 i. a    if(!is_array($string)) return stripslashes($string);
9 f  @$ H" w5 ~* w+ s    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
5 j1 ]5 Y3 B, b! N1 R}

这个函数的功能不用解释了吧

所以我们看具体应用点再哪？

1
' ^2 g5 P2 J7 n; U2
3
' X/ x# J  T; ]0 r( N1 E4
; Q9 @4 _/ i2 E6 z" l* Q! P5
6
7
8
9
* F# t2 ^( H+ z( U: e9 H) |10
11
* X% J: O& b6 T: `( B/ |1 Y12
" E7 \1 [+ W" F$ `0 }13
& U- W0 M9 v7 |# K% ~( V14
15
16
5 w. I0 r0 W" e' R) ]$ i( D17
8 U% I+ A- O0 W5 m* Y6 G18
19
20
$ x+ l0 O2 V" [) X+ Z21
8 I& l( ?1 @7 ?4 i+ a22
23
: @& o/ n' d! [4 l( B' w24
25
4 v2 x, n, {0 E9 v/ W, f; g26
27
28
' C0 b1 f/ q3 n" c  y% C9 O29
30
31
5 h+ ^# V4 U4 ^5 i: _  H# S32
' o1 i) @( \. l4 l+ R33
34
. u/ s$ J& ]) B/ K, y+ ?8 N+ }! t35 require dirname(__FILE__).'/include/common.inc.php';
. `7 Q+ D- d. k( g4 Lif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
, Z$ a+ E6 ~% @% O- t$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
5 {) f. C6 C/ e/ }+ t6 V1 o  c{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
3 c# [& @8 D6 E% E! A+ B/ W% \) O$images_number = 10;
0 s( b( L* T0 O3 P$ j- r% l$allow_priv = $allow_readpoint = 1;
* e3 h5 s# G, ^& J# n; o/ i$updatetime = date('Y-m-d H:i:s',TIME);
        
# Y# w# O" B  Y/ N4 u, w: ?$page = max(intval($page), 1);
$pages = $titles = '';
5 r2 E/ F* W- O% b4 A: N4 [  ]if(strpos($content, '