PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

0 D7 y7 c' W) Y- m3 \3 Y   要转摘的兄弟们，你们还是带个版权吧！   

& l, j# l  S. y4 f  组织 : http://www.safekeyer.com/   (欢迎访问）

1 n5 h! v: Y5 U  |4 cauthor: 西毒    blog: http://hi.baidu.com/sethc5

  A  L& @9 H- V     

& U% Y* k; P4 }8 [1 d$ ]其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。
$ C5 h9 B+ L: H) W( C% j
在preview.php 中第7行

& |" a$ |) [$ I. C% C+ x1 s$r = new_stripslashes($info);
8 `% x$ l; W1 ?' k/ d7 n4 n& _
: A: f) f. c: s我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

" O) N' m) B( R# _3 b# K; n1
5 q- R5 p1 [2 Q9 \/ L, l7 z) \0 w2
3
4
! l5 W( ]' ?5 C/ t; k5
) o' ]2 k7 P9 [0 t  R6 function new_stripslashes($string)
9 f1 ^1 T9 a/ I5 q" c4 ^6 ^{
6 o# I$ B" ^9 V    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}

7 N9 g& V' v5 M( y0 R0 {+ s这个函数的功能不用解释了吧
: |0 U% Y5 U. `
所以我们看具体应用点再哪？
$ s3 j7 e$ n' V2 V$ R, |
1
2
6 C6 L" N! K  Q0 i' ~) j3
4
! }0 K$ q- f* ?* f5
6
7
7 N+ l$ X5 E' p' R% L* T* \, I  \8
! v/ ^/ s7 X' z( U  q) ?9 y9
2 q. v( ?5 }. [, ?9 n- _' Z10
+ C6 J# ^' C( z11
, U" J: A8 Y2 X5 v1 t12
13
0 o( `9 I) e8 ^, K  O14
15
16
- I: e' `( P8 N- _: R, b17
18
19
- Z0 }+ C  Z# O20
21
9 u2 ^. G' [* ~1 ~8 X) @22
) v6 d1 l! M" V, l! L23
24
- o) N0 D* s3 s4 ]' U25
: R3 {6 N, S0 ?5 Y! b/ H1 K26
4 g5 ]# O, [/ {, g5 A27
28
) \. u  @; _7 r29
& i! Z6 j+ D8 H" A4 F30
0 x; K, @! @2 G1 m5 G" C( x3 [/ ]31
32
/ p: y' p. N4 Y$ U% \; M* o33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
. N' X* x2 Z$ ~0 yrequire_once CACHE_MODEL_PATH.'content_output.class.php';
. v, g! O5 T7 L6 Vrequire_once 'output.class.php';
, L2 q* X% W" t# n; p$ `% q( S) uif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
) T% D2 B  J3 r' @' j9 F$r = new_stripslashes($info);   //反转义了.....关键
5 T1 S1 w* j4 _8 i$C = cache_read('category_'.$r['catid'].'.php');
& M. |8 I4 U: q2 h3 p+ J/ h$out = new content_output();
# p% H# O' Y5 z% {; Z3 f$r['userid'] = $_userid;
$r['inputtime'] = TIME;
0 F, Z0 [$ J# I$ {+ T! a$data = $out->get($r);
/ r2 V1 Y$ _, |( L( iextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
! v' P2 ?) i9 p8 y8 |9 f        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
% @' B4 Q! _0 f/ n        
$page = max(intval($page), 1);
$pages = $titles = '';
& F; Q( r% b1 T/ }2 T7 P) r! eif(strpos($content, '