PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
" q1 {; l+ H+ n
   要转摘的兄弟们，你们还是带个版权吧！   
* O' S3 ?+ _! y* w- o# s* B& m3 V5 X
  组织 : http://www.safekeyer.com/   (欢迎访问）
1 O3 _! W, i6 r" y7 u
author: 西毒    blog: http://hi.baidu.com/sethc5

; E+ q" _2 w! r$ S- V' N) f2 S4 v     
( H; p0 C+ p" B
其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
/ m( B3 ~5 x3 V) W" U, e
过程不明显的我就省略了。

在preview.php 中第7行
1 b+ W# u7 d8 L/ h2 i5 C! x' A
$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数
) J7 X& d7 Q3 e3 A6 [" m% L; C* b1 i
在global.func.php中可以找到

0 A5 G9 d) \$ V8 x$ `  V  k, H1
4 @9 ~4 Y6 h2 I% L% ?2
. @# }" n! F: s3
  s$ A+ P: e8 c$ Y0 j& }9 z' {4
. W; E1 a0 f7 [- l" }, j" x" Q5
1 r2 J7 ~8 L) N8 h) V# D3 q6 function new_stripslashes($string)
3 u% r  l5 U" Q! c6 y4 f& I' o{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
3 G* n! s4 ]8 E& Q; k3 X, w    return $string;
}
% P0 f  `& q; F* N  F9 o* `6 D
1 \, l" e! `7 J" \3 O' j这个函数的功能不用解释了吧

" `% S  G! k& P所以我们看具体应用点再哪？

1
2
; p% Y, g$ v2 L) q$ G3
8 M# m) \( I" d4
5
7 u; O% {. ^2 P6 p/ d6
7
8
! l& t  W$ o8 z4 }9
5 Y5 |" i5 ^; f$ O# L/ P4 A0 S5 F10
11
12
) Y+ p- G2 U7 i' n1 q+ w( p2 q% J13
* H0 M3 z% i, n7 t4 G14
15
16
$ y2 ^; w. C7 T, |% z* ]17
18
; M  i+ Z- Z7 g19
20
8 W8 b3 ^1 V- d  f0 G21
9 ~- ~8 L+ m, r( F22
$ e% y- u1 k7 c0 z$ a23
24
: N% W& n/ K$ ?- _+ V25
26
9 x: @/ k: J* h27
" ^$ I5 C0 J: N, W28
29
7 I' O9 x' W1 l9 S30
31
32
33
8 R% t- X  `5 u$ |" i3 C34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
1 w$ h! S, m7 ^$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
. Z% M, o4 V" I* _$r['inputtime'] = TIME;
6 g. z0 I, W. S$data = $out->get($r);
extract($data);
$userid = $_username;
6 }7 J1 T3 z5 A/ \) b- Dfor($i=1;$i<10;$i++)
& ^' P- M3 E  T; M% @( y9 l{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
9 }( e# _. D, ]% `" c/ G, J& S$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
9 }  {: h% l2 N( a& j2 E' C' J8 Q$pages = $titles = '';
if(strpos($content, '