PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
. P) E1 L" X! |7 Q  q
! b- w3 u) _1 l  ~8 k2 ^   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）
; @, i2 [. B* I1 [* O9 ], w
author: 西毒    blog: http://hi.baidu.com/sethc5

4 D' ^3 x. Z+ y7 K: ]% n     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
; Q; Z$ [% y- F6 p4 I
过程不明显的我就省略了。
" u, m7 g1 x* W3 L
在preview.php 中第7行
. o+ L; M: S  v! R  J
) Y* Q. k$ i# a% s2 {9 q. k6 y. ^* [$r = new_stripslashes($info);
# t$ f- m& j8 R, f+ R; M
3 [7 L: q" z3 g- V  O我们跟踪new_stripslashes这个函数
8 a1 C, w3 R! K  S% b
# x/ w4 k( z, z$ B; r' U) x9 G, {在global.func.php中可以找到
5 U% g3 |) d$ q% |7 k  w
1
% @  l  \( q* `0 M( x2
+ o* R/ V- y: l" n  n! \  b: q4 G4 t3
4
; z  U2 b9 X) V- f+ c9 h5
$ T% C# k2 ^+ o6 [- {6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
% R" \0 d4 q( T. n7 ?; P6 j9 z    return $string;
}

这个函数的功能不用解释了吧
' W  m4 }9 @% Z+ H
: t# j" t* W- s" V0 A4 Q) y' M所以我们看具体应用点再哪？
. [9 B+ ~& C2 f' L# P4 B
1
2
8 ]$ q( p4 ~3 Y. S/ k5 n3
5 y$ ]# E) h# t/ r* r" F# c4
5
6
7
8
9
/ [$ A: ]9 a: U1 T) _10
11
- R6 V- @# ]7 ?1 n- h12
: l1 u! \% E# S0 H) S13
14
15
16
17
6 w, o( l$ R, g18
% Y0 Q: D# w% O' K19
  t% V" E& L. }, L: ~( q# |0 s20
+ G+ k) Q0 o  }9 U& Y4 d21
22
23
, n& d( }7 n" ?* \" N3 ?24
25
3 `6 _2 H: r3 ^2 [8 q& G26
27
28
29
30
31
( g6 k1 ~' Z5 ~- d( Z  x$ `32
33
' e6 M3 k0 E  S5 b3 x" Z4 i" Y34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
/ s) t% c& L' Q. Xrequire_once 'output.class.php';
% ]6 G  g; @- G/ M# U4 l& U1 ]5 oif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
' e. A' S* o( d5 `/ m$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
' ^# h+ T5 K% F( }8 k$out = new content_output();
' V# u& k5 G/ ~; k% H9 D6 L$r['userid'] = $_userid;
/ Y* C* h- m- A3 _! G: u9 ]! y$r['inputtime'] = TIME;
' h" B7 E) o5 Y' O1 k1 H$data = $out->get($r);
# G9 N: A' {/ z( y' M& `extract($data);
4 `# A2 Z  R1 @, Y  S; _: w$userid = $_username;
for($i=1;$i<10;$i++)
{
1 s% L5 i5 k3 B$ b    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
" [+ Q  b  `5 T}
        
* W0 D3 R7 N5 w+ Q; \9 g+ _$array_images = $str_attachmentArray;
  [' o8 a/ f6 t4 j2 A$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
5 u  t9 O5 }9 {- H" u        
0 C+ x! ~( s  r, x$page = max(intval($page), 1);
$ m  p' U$ K. Z, e$pages = $titles = '';
if(strpos($content, '