PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
: [. Z2 G/ y7 }, f: ^
+ Q$ \% {; ]. S# _6 I5 A) `   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

     

/ a- j) c! y" I3 X4 \其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。

在preview.php 中第7行
% F* e+ E2 \5 Z& J
2 j' v' F# e( F5 T- \7 ]$r = new_stripslashes($info);

, Q2 g  g5 o6 c" d* [) h' F6 k我们跟踪new_stripslashes这个函数
7 U8 k  {( \, Q& S8 s- b: ], ^: B/ _
1 P# e3 u4 ?- \" ~在global.func.php中可以找到

1 ~' `% Q' x/ x: m8 X1
1 h/ m. ~- p$ e# a2
  f1 O* {2 {  X/ M+ T3
; V- w7 H; ~% U$ t' D+ _4
5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
8 s& C6 i0 k1 n; G    return $string;
, g& Q7 ]3 i: E; r. u/ a}

这个函数的功能不用解释了吧
: G! y. k- a! S4 N
所以我们看具体应用点再哪？
/ D9 S% E' z0 P8 `
2 Q& u4 h% `$ f" }5 l3 I1
2
% C- W9 \4 s$ p! A3
4
( T8 q8 @2 S- m5 x8 c5 t8 q0 g5
, }; H+ ]+ f& }6 o9 j5 _6
7
8
+ x" \( D9 v; Q3 I5 n$ n8 n9
10
11
12
7 A# ^- M9 E$ m: \3 g13
14
15
16
17
18
19
5 \: ~' W7 |# n. o5 B+ {20
21
22
23
24
% a! z: S! P: U4 o0 h25
26
27
28
. r# o4 T- K% g8 [7 f. m29
& z/ x- R) l( X' p/ X& s  S5 u" O30
" ^6 h: e& l4 X3 u8 G31
32
! w# ~0 t: q( }- Y7 e2 f* b: c/ m33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
2 R# p. P/ D4 s: {, trequire_once CACHE_MODEL_PATH.'content_output.class.php';
* s+ E+ c0 H% t* s* \require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
3 h5 O: u3 \1 n$ u% S$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
* n* A6 ^: |& V1 x+ _extract($data);
/ K0 o3 H) e  \6 K$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
# Z7 ^$ J* x9 |2 R8 |}
        
$array_images = $str_attachmentArray;
4 P$ [* n9 R7 u8 T1 g6 ]$images_number = 10;
2 i; m; J% P7 e9 x. P; |) k8 A3 i4 J- F$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
6 R3 ^* h1 _2 J  j- L$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '