PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

3 q2 ]3 ]$ z  |/ b- l' U) O   要转摘的兄弟们，你们还是带个版权吧！   
) |5 T/ G! z$ X8 C6 w. c% U
  组织 : http://www.safekeyer.com/   (欢迎访问）

  L1 r" M& q4 v+ N; N0 D+ @# D- Iauthor: 西毒    blog: http://hi.baidu.com/sethc5

     

/ y, }+ L$ B3 y其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。

在preview.php 中第7行

! {4 S3 ~" _8 G+ k( ~$r = new_stripslashes($info);

& N6 S$ k7 W8 U% R- v- }3 \我们跟踪new_stripslashes这个函数
. _- d; m+ u. |, k& V5 S
  J. _2 T9 p0 J3 q6 r, R在global.func.php中可以找到
3 \7 h" z: x4 J+ ]1 o4 B
* K3 w8 r9 K0 c3 R% w9 U. A1
2
3
9 G' o4 M" g- m& A* e  r4
5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
* S: K; {4 q' @% N) t  `}
5 b: a* d: K0 `  {% i# Y
这个函数的功能不用解释了吧
( o: `6 U' y6 J, J) Z
所以我们看具体应用点再哪？

" E8 e2 J" e6 A3 x$ @! K1
- o4 r' V: m2 s0 L% L8 _1 N2
3
4
% n2 c: [" @1 _' R9 C. g: d9 \5
  d1 t. G; W/ D# O& A4 c! l% h0 t6
7
8
9
10
/ f9 V4 N9 I; `" ^: s& i11
12
: N2 B4 i4 t4 z! j# s$ g1 x13
% M) O8 T. w1 n) p3 [14
; |& q0 D; H5 V15
. p! T$ N/ \1 T# [: w$ _16
17
4 K  w6 F' z! p3 a18
. u3 @" v% A* I" N3 C5 h19
1 ~4 J2 R' {: Z8 J1 e; C* K20
; g% R! J# _$ T) O% J5 S2 e21
6 s7 I3 L+ b6 n8 \; O22
' R( V* [! c' f/ e* m23
$ y& i! @/ `. N5 m0 x6 y0 Y24
. l" e5 l$ s( |, X' h1 ?9 z0 X25
26
27
# Z1 I' Z$ t; `9 ]28
29
30
31
: M. z4 U& b# F32
3 j8 z" d" t4 g9 t  R33
34
35 require dirname(__FILE__).'/include/common.inc.php';
4 H. a* d/ ~+ p6 e" x: B& vif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
8 B  y* @8 b5 c2 ~" z1 ?+ irequire_once CACHE_MODEL_PATH.'content_output.class.php';
& H+ d# C  D+ ^' f$ |  Drequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
; K$ \) N7 x  b4 v2 ~4 n: n* Q$C = cache_read('category_'.$r['catid'].'.php');
" D) R$ j1 D* c, H$ v- i$out = new content_output();
$r['userid'] = $_userid;
5 `) ]" M! a6 ^, [& ~1 I  r$r['inputtime'] = TIME;
$data = $out->get($r);
) I! t- S/ W  c( bextract($data);
$ q+ Y7 n4 m* j% e$userid = $_username;
, h* [/ }" R( n  k3 T$ h2 rfor($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
" A( O# t6 o! `) k. Y1 M& A$images_number = 10;
0 _9 i) B! q0 l1 R$allow_priv = $allow_readpoint = 1;
, H. w2 v% u+ M) o) d4 e$updatetime = date('Y-m-d H:i:s',TIME);
        
$ {0 p9 x9 ~7 K+ @$page = max(intval($page), 1);
- V! E$ M1 `1 t6 B4 W- m) o9 F4 q$pages = $titles = '';
% q' ?/ g$ c/ Y  w  lif(strpos($content, '