PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

, F$ ?9 ?; t$ E3 o9 H2 d$ y   要转摘的兄弟们，你们还是带个版权吧！   
3 O! ]" h$ W: _* `
  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

* u0 x9 m/ h2 W5 H# O# V) q     

2 r! n$ @, d. m2 e2 X1 d* x  i其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
2 u& M4 E: `( [4 ^
: a3 N) ]) M, A6 l* s0 _2 K过程不明显的我就省略了。

在preview.php 中第7行

, N9 f0 F8 _! F& T$r = new_stripslashes($info);

) `4 i2 a/ w- L/ @6 z5 U我们跟踪new_stripslashes这个函数

4 r1 m* s; t/ v# ^8 `8 _1 h; g在global.func.php中可以找到
+ C: Q/ e7 g5 ]3 ^2 E6 i% {! N  ~& X; l
  z" @' Y& ~4 a, `7 B1
2
7 _1 v; X0 k) i  k! {+ a. M3
$ S1 T+ l! r  B4 Q/ }4 a4
8 V! n. M( ?# I5
6 X9 B3 E/ B6 c! N/ `6 function new_stripslashes($string)
4 T: t. r( l; o1 m$ |' |' A{
" z/ p7 z/ B: X  ~* G, W' V& |- S    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
" `$ x$ D2 b! B+ Q0 g) ]0 r    return $string;
5 o9 \) L; U: Z0 n) Y7 C& Z}
/ t. V  O. b' s, a  c, Y0 ^
8 ~8 {; h/ `: D$ ~0 c3 A* w$ V这个函数的功能不用解释了吧
. k" k' X# d. B) l* @) G+ b
6 t. _- V% ?- ?  Q所以我们看具体应用点再哪？

1
/ f0 }0 }. {; `1 h& O( ]  `1 m2
3
2 d3 q' e! X# M8 d& A9 t4
& K( s: a( ~; Z* d4 r5
; a( N3 q& z9 O& ?6
7
7 `' Z8 ^0 l) m( t8
9
) E8 H  g) l4 ~# B3 [: _10
11
12
13
14
5 h) G0 h% Z( U' p" \15
16
8 c" |2 M3 L: x& h# X17
4 `2 G4 P3 j3 e6 e& x: Z18
  F( _% W1 K, M1 }4 e2 q( [0 x( V19
20
# W/ W3 W& H" A3 u& l21
4 O: W5 k0 y" [- s  t/ V22
23
24
2 h+ l7 t3 Q. P! G6 n8 J25
26
27
$ C2 d0 t/ }1 o9 r% r: E" |28
29
30
- `1 ~7 f/ }5 p: T+ v# V31
( L# ^+ q$ i& }" v9 @32
33
4 M3 b0 m6 l, M, a* S34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
5 J( j" G$ {. _% d' t. D2 O/ G$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
& E- W. w' [0 b2 e$data = $out->get($r);
extract($data);
6 O8 H; E- x: `; M6 S7 `! F2 b) x$userid = $_username;
) S" B1 G- i1 c1 u+ j$ Dfor($i=1;$i<10;$i++)
! }/ b. W9 E/ ~' s- {{
# O7 X' g' S- P) s7 o# j3 T% r5 k    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
# C2 v; ]4 T5 W8 |8 V$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
$pages = $titles = '';
- o) @. c& s- a. s+ wif(strpos($content, '