PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

4 ]& A5 z8 F, Oauthor: 西毒    blog: http://hi.baidu.com/sethc5
0 j3 j% D6 f  [3 f
     

6 w4 e: x) v, k7 o& \( L其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
3 O6 j( C) L. a4 R
7 ~/ r' k8 N, |" D过程不明显的我就省略了。

在preview.php 中第7行

$r = new_stripslashes($info);
3 f4 D' I+ |1 E: z5 K  F* d
# I* V! H! a. B/ {& x我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

1
/ t6 g, q$ ]- h% K9 [, _( }- k2
9 d7 }. l) s7 m3
4
& o& Y) ^# k2 i1 L( |5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}

* K6 E0 O  [; N  P! I* x0 `4 Q, y- N/ T这个函数的功能不用解释了吧
) O, ^" c! s- d7 ?( o5 {+ |
所以我们看具体应用点再哪？
( C: K2 M1 J# Y6 u
1
2
3
4
- R5 M+ n/ L2 C) ^0 j8 v" ]5
6
3 x/ s# q) e5 b8 L7
+ p) z/ m! b% X8
9
10
11
, s# M7 q5 H6 g3 a8 d9 J. `0 S12
: U, q# s" d+ W9 N. M& Q13
3 k7 f0 t, a3 V0 H/ l14
$ Z  {) l% Y0 r/ L15
( ~2 G" {, J2 U* B3 O1 F& g16
17
- e" p0 d. ?# u  |7 P6 |# a18
19
: {5 d& `" N0 w1 |+ u/ z. ]20
21
22
/ a; n. L6 ?* [- _7 w, ?9 Y/ ~: v7 R23
8 O6 l" M: s1 Z1 [+ X, k24
7 ^4 Z$ ~; T0 V" e9 N  V25
( [) @# P7 D' b5 S$ N* @, Z26
& m8 A% l4 F0 i6 e27
28
29
0 y$ X' X  L9 v2 x# X( i30
31
3 i, V- i4 f  L7 G' }" R32
33
8 s% I' h- X- B2 P2 {: c34
3 d* Q* w( k9 }- ]35 require dirname(__FILE__).'/include/common.inc.php';
" U: u  A. ~$ y( Qif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
1 {+ M$ c/ L) Grequire_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
8 `) x* P# [- C5 v% Sif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
% n9 V) D- S+ ^4 s$ G' ^- B$r = new_stripslashes($info);   //反转义了.....关键
6 J2 _: e9 j0 O9 {3 ]% V3 r3 t2 T% t# |$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
/ p3 b+ i& _; @/ x, h. t* X$r['userid'] = $_userid;
$r['inputtime'] = TIME;
" Q" ~. v! r2 h3 N, O$data = $out->get($r);
extract($data);
$userid = $_username;
3 n  a  F/ g: e" I/ cfor($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
2 ^3 H7 a& y  T9 M" I5 W. ~+ x}
" R& j( M+ v. ~% X2 h        
$array_images = $str_attachmentArray;
9 V2 }( b) O/ @/ u, _( d$images_number = 10;
$allow_priv = $allow_readpoint = 1;
+ i, N. w* D7 T/ L$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
& E6 m9 i7 `4 h$pages = $titles = '';
5 g8 @; I) h, n& D! r* r% S+ cif(strpos($content, '