找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2574|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
说好的第二季来了......
# w6 `  `" x7 Y8 _% ~3 R0 q& K# `* D0 ^4 w: z
   要转摘的兄弟们,你们还是带个版权吧!    # B6 K3 m' N( O4 B) `" Q

* I- i  @" W: ~6 G  组织 : http://www.safekeyer.com/   (欢迎访问)* u5 U' J: ~0 U

: M- U# {; ?; A2 Z  `author: 西毒    blog: http://hi.baidu.com/sethc5
( h) }. M" h7 w8 b$ {5 n% `0 [2 V, P  N
     # h  S) w% u" \: `' a1 ~# Z

8 q& s2 s7 ~( d' ^9 A; f) B' h其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了.
+ i6 @& C- l; P) j+ u1 S: x9 @! ?5 r: I) r& Y
过程不明显的我就省略了。1 l1 u$ e6 O& _" d4 S4 g% [9 F' K$ X
! p# Q( v# R' S0 E( ]
在preview.php 中第7行
" @6 W. u0 E( y; P
/ W' Y2 c4 N9 Z$r = new_stripslashes($info);0 y" o& O9 Q6 ~5 |6 \3 F
: T. t+ m. |1 @6 I* g
我们跟踪new_stripslashes这个函数
8 W: h/ O; y  N+ V% a3 @" c( w) [4 o1 J7 b! Q& y  ^
在global.func.php中可以找到
% |" ~% a) a( |% {9 E8 T' Z
! Q/ x# o& _* s, k1; F4 O. Q( z" ~2 I( s# W
2
' v6 O! K) u% t* Y$ ^3" ?2 n- N! c1 c0 Q- y8 @) _4 W( M
4
. r3 s/ a9 x6 E0 h5 r; {5- v3 J8 ~* U1 W# r( o8 C3 i3 E
6 function new_stripslashes($string)
0 K, D, U6 ~* Q+ t" e! ~{
% M, w# m+ N. F' v% W& ]" F, o    if(!is_array($string)) return stripslashes($string);
. f8 q9 V6 @* R) e+ [, h' X" s    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
: i; |8 u" a. P& A  I    return $string;7 ]  s& e6 v8 X" o
} ) @% ~8 l" i3 y3 `% q6 L' c2 S
* Z. H! U9 y+ [# W+ y  z" y. Z
这个函数的功能不用解释了吧( L4 Z  F# I9 S, _0 I0 n* u
) K9 x: R9 S- J$ j' Q* N4 ]
所以我们看具体应用点再哪?
5 l" V1 w/ A8 ~5 w8 }3 K- A5 ~
. i9 K# G+ M+ ]1 n0 f14 w6 f. n- S0 B# Y/ \" W" l; x
2* v- K  [3 A0 ?; @, @
3
! x! _2 ]: r" A5 J& X4, ~& g( G! k! ~% x8 g
58 @+ ?  Q$ ^; w4 t# X
6% Q" `; E. v' B7 ]
7
& l! U% D7 o9 w' F* l8 L8% s3 R8 ]2 H3 c) x
9
% e# \+ s. T1 Q0 Z' W" }10) C- {2 e& O* j" C
11& e, {' V1 ]3 @  Z1 t$ i1 r  ^3 e' [" A
12
* C9 g7 f9 T+ U' H& M, `131 H/ X* Y0 U; |1 [) u% h
14
" x4 p% u; C$ |2 }+ h* M15! {9 t% m# {! f+ J& j, R8 `0 h
168 T4 t: |% e1 o, v( o+ ^
17. I! b- r+ }5 K- p, w7 _. c' }
18
: H9 u8 P0 q; |+ n19- Z8 o1 M" n! [: V: o: m) Y
20/ P7 }/ y5 ?- A# `
21
& [0 J1 P" c; n3 |6 P- a0 O22' G  l! ?4 K4 b- [1 B! v5 a
23* h" L2 E3 [' y: G* e/ Q& h: u
248 J! P$ Z) N  g/ `' ]1 `2 ?( e, B. ~
25
( {# e7 c3 L4 S: }26
& L$ T5 l: R2 e" f5 j27
7 a9 n7 q0 v2 C5 Z28
; ~1 z( Q1 \# R; W9 Z) ~29  W/ m9 n% V% v/ D* R
30
& \( l+ w  b5 X* Q, w31& ?  W. B2 o+ l" O( k0 o/ {
32
# S; f* N* `: i+ e: T33
. w! H) J. A/ G/ X8 S34' Q2 p4 I, |9 d8 x8 Z
35 require dirname(__FILE__).'/include/common.inc.php';' b+ H+ P9 g: C! b7 C3 N
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.4 C1 Z# i; y( d8 l7 x5 k) w2 Z( v
require_once CACHE_MODEL_PATH.'content_output.class.php';; k: b3 t4 v% E3 a
require_once 'output.class.php';
7 ?0 B: [' S( O! F& O! Iif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了( Q6 p. M- M' Q# Z* s
$r = new_stripslashes($info);   //反转义了.....关键
# h3 f/ z' I- ]( j$C = cache_read('category_'.$r['catid'].'.php');
9 m2 p) W$ d0 P; |$out = new content_output();2 y* B% n- ?) K6 e# Y& q
$r['userid'] = $_userid;
7 Q) F  }$ Z0 v: ^$r['inputtime'] = TIME;
) x/ f. B1 i5 I0 |$data = $out->get($r);9 ~- \- l2 {  z+ t1 s% [
extract($data);/ |9 T" W$ |& Z
$userid = $_username;
3 ]' m- M6 a! ?' d0 vfor($i=1;$i<10;$i++)9 y9 X* e$ }: D7 R( w2 x/ K+ r
{
- U& G2 Z7 Y9 H    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
8 |6 r  z) i* E7 Z* l}
. ^$ F; Z, _4 H  D! e: i& v        
. ]6 i' X4 z6 \! I$array_images = $str_attachmentArray;
9 J* h% M! z$ k1 D) K0 g3 h6 ]$images_number = 10;
& J9 A4 W$ K' [; M1 r! b. p; M$allow_priv = $allow_readpoint = 1;
3 K- o- C3 B# R) ]4 h, _$updatetime = date('Y-m-d H:i:s',TIME);
: g; w$ O  E, i) K0 s        
) `+ W8 M/ E6 [( \, V$page = max(intval($page), 1);" D" ^  q6 q2 G4 M1 }/ s. P; s. ]
$pages = $titles = '';0 [7 @: k0 q7 i( {: {
if(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表