PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
( D- n( A4 i2 N
   要转摘的兄弟们，你们还是带个版权吧！   
8 ~  r( J3 V# b  W9 K% ]4 ]7 H
  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

( r* |# W# T! ?# [+ s     
5 I6 ~/ n# U, u4 i+ v# ^
$ t( c* X) u# o其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
7 O5 ~+ S5 R) D* r+ ~& G9 K
/ I. Q+ M. }4 S* ]; @" i过程不明显的我就省略了。
4 o& o( q& D) a* k& f
! T: J0 u) F2 A5 t; ^在preview.php 中第7行
/ E3 U, F& n# u1 G& |
, ?8 {: ^+ H0 }$ O% {( t$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数
/ y+ h4 Y3 `7 K% f( }8 _
4 Y/ x4 e  A5 L4 S+ V在global.func.php中可以找到
  u5 Q, G/ H0 y5 p% P
+ V8 B# q, U/ a1
2
7 \/ m% V# Q. [2 `3 n% ]3
9 z2 r' q" X% f4
& r3 r) W& I' h9 R( [, t5
6 function new_stripslashes($string)
{
, ]9 p  P; W# p8 w    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}
/ x  {- X: l5 Q  v4 [7 N
这个函数的功能不用解释了吧
3 a. x1 q7 z$ g0 P* t
所以我们看具体应用点再哪？
3 l/ O3 n* W$ j# ]3 s( C9 B
0 s7 r- R8 D7 m# K7 Q1
- m$ @) o. u$ p6 d# Q) n2
" s9 O  Z' \; P! g3
' g  L% U: \/ G; N4
5
6
7
- t' z0 B# x6 ^5 u9 j- ?% n8
* [  G- E& z. n9
10
2 j' g1 d; ?' a* U0 s& G; ^11
12
* ^( T4 E1 K  J4 b13
. C8 G8 ?, f+ }$ Y14
" x7 G, b2 o6 M8 E15
16
17
3 }% p$ J8 i1 _. l9 Z18
19
1 E- f* [% b8 g' ~1 e  K- o! {20
  J' |% i; g5 F5 W21
22
23
24
$ g) @2 I  `: e+ z9 D' S25
  E/ c2 \0 v  B! N26
( t* @# `4 A( f- p27
- U0 R( j5 j' E6 S* _28
29
$ C) ~$ E) U2 e3 X  ]30
31
32
33
34
35 require dirname(__FILE__).'/include/common.inc.php';
. k7 n' t( {6 ^' {! \if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
/ R$ s3 X& U) l1 A1 frequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
% W; |6 S5 h$ c9 g( x( X$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
# E7 M* y0 V- t7 v/ m! Z$out = new content_output();
6 s0 v9 P7 v& J! H/ J$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
% r. \# b5 s1 lfor($i=1;$i<10;$i++)
& P$ @0 J! m6 _+ W' P{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
, h0 [( ~% [# I$ S        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
  o6 }6 a. V2 b1 g1 x/ Y% b; z$updatetime = date('Y-m-d H:i:s',TIME);
        
0 ^. P( N) t' P6 d; w/ @$page = max(intval($page), 1);
. ^2 _3 V, m! \- m! v) z4 w$pages = $titles = '';
/ R2 i( Z& N2 R( D$ m( Wif(strpos($content, '