PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

& [8 b3 t1 ~! `( z# o( e  S  I  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
# H' c6 q* F6 v
+ H6 _% u! u" f+ |4 z4 V过程不明显的我就省略了。
! t6 z" |9 i% A$ a8 ~+ Z) W( [
6 F2 ?8 ~- O7 X8 z在preview.php 中第7行

. x6 m) Y; d  {; v$r = new_stripslashes($info);
3 L, L( A: T7 o! i5 h, \
我们跟踪new_stripslashes这个函数
+ l9 R  P$ P: G6 i& z8 y/ V
; _8 A- ~: d, }9 @2 e在global.func.php中可以找到

1
2
3
- O) f" C8 t- G& U4
5
4 |, W& f+ q$ A6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}
; A5 e" z% h1 z% f& L
这个函数的功能不用解释了吧
; M# _. m. c0 N( ?: w6 V
所以我们看具体应用点再哪？
& o. a$ A% ^, N4 L% b
8 G5 H7 b  O) l) m+ i3 H1
' J7 P# P- L3 x$ c/ L/ ^& s- c2
3
# X( E8 l  H% ^! T0 m- a4
! }" u6 H5 r$ s0 h3 |. s$ r2 i7 P5
6
* ]: O" j7 B9 f% i' d. c8 L7
8
9
: R, w: h2 a% n% Q( A4 |6 q10
11
# j; ?9 t4 j; d5 I4 o8 \  ?12
13
6 O+ X8 J1 }2 `. V& W4 l& ^14
  z& X& ~* O, L3 s8 z& I15
16
; }; R6 T& @" Z17
0 H" k+ s! P; I! n% j% z- s4 _18
  Y; H# r+ m5 j8 v* r+ _; j# J19
20
/ g$ i1 m+ v3 L1 c21
22
23
' W( J/ {" l' U24
' u, S9 s; s7 I8 [" C25
26
  F' j* N1 A- S$ I. Y* @/ F7 B: V1 {27
/ O' L1 D- Y$ t28
; @. v+ {0 }& g) m29
30
7 p- R1 ]4 R' H7 f' q% d31
32
33
" x- t' ?$ w$ h; f0 A34
35 require dirname(__FILE__).'/include/common.inc.php';
4 B, X; F  J8 p% K  |) I" Bif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
0 q2 D; ?/ i) n8 w3 R3 l6 z5 B& mrequire_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
/ s# Q" [7 L2 d; c; yif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
* O8 X8 r* |: X& |! Q% Q3 o$out = new content_output();
$r['userid'] = $_userid;
! s) p2 C/ y" i3 d+ o$r['inputtime'] = TIME;
. Q% N, ^! r) l0 W4 a( Q  t- A$data = $out->get($r);
extract($data);
" n7 Q: u! v! \* n6 N$userid = $_username;
for($i=1;$i<10;$i++)
! B0 X( w" }; h: L6 M& R: S, g. u{
* a# j  s9 P* B) M    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
# g' z# C+ |4 L; e: u4 I6 W}
8 N) @1 r2 t; Y        
5 O; c# Z+ x. g# P$array_images = $str_attachmentArray;
( ^# D% m" \6 n% D1 n' G  V) ?$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
0 L, L, d( K& I9 }$pages = $titles = '';
if(strpos($content, '