PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

+ R8 m* y+ n0 t* T+ U+ ~  组织 : http://www.safekeyer.com/   (欢迎访问）

; `& k- J+ n+ N# |% G  T. K) S7 K( fauthor: 西毒    blog: http://hi.baidu.com/sethc5
  K7 _+ c+ w. g' v$ x
. @+ [' M8 d* O% @& w5 L, K     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。
4 s4 k5 A" \' H+ k1 J7 C
$ a' o5 [2 j9 Q$ K! V在preview.php 中第7行
3 Q* P7 g6 L9 d7 D; _0 i
% y# ]# }; @& f" \% r6 m& s$r = new_stripslashes($info);
8 j+ E2 {/ c/ P: F
我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

1
2
  |1 Q% _9 v  k; q& ?' d) {% J. q3
4
. F* |* w- l  u% C  Y9 b. P3 [5
& G9 k) i1 F0 g6 function new_stripslashes($string)
0 R% Q: j& \- M+ _& W{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}

4 Y2 w1 d4 L! B! _$ J这个函数的功能不用解释了吧

4 k3 Y# A: p& ^! k' u& f4 I所以我们看具体应用点再哪？
. C* R+ S; z5 z, F( B
9 Q6 J! G: K3 g9 p8 Z$ R1
! ~3 S9 X3 B9 i" ]' `; f) ^2
3
4
5
6
7
/ |3 X* T$ c8 w' q5 u" r- k8
+ ?# u$ E* N$ W+ _% @9
10
/ l0 J+ m+ S) o" h; k/ |2 N* @11
" k+ e0 F3 a: h5 d12
4 o; B) O9 B& _; d" g' `13
14
% E' ?! @- }1 V- T4 S15
16
17
. ~! C% ~9 Y  R2 w" @7 [& u) p  ]- A18
19
20
21
  f8 D, l! C+ C- L( h22
23
24
25
26
27
) A& Y' c. _4 q6 {28
29
30
, }; O% T$ R' l31
32
33
34
0 Z6 q# W! r' ?- Y7 ^' D' y35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
8 B- _5 d% ^1 w* O: Crequire_once CACHE_MODEL_PATH.'content_output.class.php';
0 w# {. ]- q3 k) q& T; l% I5 ~require_once 'output.class.php';
2 p" a, ^  J/ @" u. Qif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
: M8 o) j1 S' w3 k# ]7 y6 t% u2 X$r = new_stripslashes($info);   //反转义了.....关键
2 `6 a% X9 @8 _# u* G" y$ c6 O& u$C = cache_read('category_'.$r['catid'].'.php');
1 k( m9 w- T# @% J+ W$out = new content_output();
$r['userid'] = $_userid;
. ?5 s2 L/ ^- w1 n$r['inputtime'] = TIME;
  G& u  [# ^; t7 p1 ^- F$data = $out->get($r);
extract($data);
) i) U* F6 t9 o. Y& r7 c$userid = $_username;
+ @; Y* j1 I7 [for($i=1;$i<10;$i++)
{
9 ?. t3 @7 v2 F( M( u! T" o0 A    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
7 `! f) n0 C8 u; d5 _" b}
  U  {- |: F) H9 S* M9 ~        
$array_images = $str_attachmentArray;
5 P; o# g) u# l- T4 Z$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
. ^3 q1 g0 w- v# V! f        
( B/ N5 n* }4 R* T8 W$page = max(intval($page), 1);
  g! q1 W: y, U; K$pages = $titles = '';
if(strpos($content, '