PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

% d' s9 e( o; N. ^9 u   要转摘的兄弟们，你们还是带个版权吧！   
; J8 _! r5 n7 G
; T% ^* A0 i0 O6 U/ g5 L8 w- k  组织 : http://www.safekeyer.com/   (欢迎访问）

- ]  G9 r/ C0 v+ s. P# wauthor: 西毒    blog: http://hi.baidu.com/sethc5
7 ^1 [8 s+ Q* t. g" \
     
* O; Y( ^4 r, G: M6 s  I
其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
4 ]. P1 [4 S& s; U  A
5 K0 ]" _" n  K8 w! r) g8 w过程不明显的我就省略了。
( Y; h# X5 A4 J) F
在preview.php 中第7行
2 C" t( t, A; B2 V
4 t1 f: N. `1 h% j( a4 Y$r = new_stripslashes($info);
, M! I* N; c  _! G- H. o
我们跟踪new_stripslashes这个函数
" |/ E2 S8 Y, t
在global.func.php中可以找到
/ ]) }0 G6 o+ M+ d* g2 O9 k$ K
1
7 h& ?$ e5 h9 k2
3
: ]) F- ?. K! W3 f3 J+ ]4
, ^  v7 v7 k5 m( N/ b5
; `* T. K2 m- g, i7 k! y6 function new_stripslashes($string)
{
/ m8 }5 e& z2 M9 D% U5 u    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}
* s/ b/ v/ J! d1 Q& R  z) }
* M, a6 N. B: ?% K) _这个函数的功能不用解释了吧

所以我们看具体应用点再哪？

2 h" z+ b* T: r" [1 E0 q5 [! ~1
2
3
4
* R: q/ v5 q, V- A. f% E% A5
6
: l4 o' f' X) ]5 O6 K$ j7
8
9
# _5 n- M7 [2 \9 {. m10
8 \4 b- b, f3 @! q; J8 m/ v; {11
12
13
* d% H' b7 H) x2 X& l: S9 f0 y, _1 ~14
4 p3 O/ s) _  I# z$ \- x15
16
" S3 A( o! P$ p17
18
19
20
21
8 U- V: [1 j4 @: r$ |7 f" l9 E22
; e' \$ b# I) m+ ]8 O23
24
8 f9 @/ ~8 X' L9 E25
/ y" D6 F* R+ r4 i  T26
27
28
29
% r( Y3 h5 n$ _* S  i/ ~30
31
* R' [+ U/ w( l0 c32
4 W, n& S) |8 ^7 f; E2 H33
34
35 require dirname(__FILE__).'/include/common.inc.php';
! v5 H, ^' j$ Jif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
% j" Y' I, p) z* nrequire_once CACHE_MODEL_PATH.'content_output.class.php';
" l3 W* _, \1 R! ^. T  B, hrequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
& i% N- h; R5 X; P. s$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
. g6 L7 x; }6 w' v" {$data = $out->get($r);
. M6 v  O' M) D5 I! J7 h) N% w: B% g; \+ Wextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
5 {; f4 M! j; A# W' o' x    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
6 k8 O& h" E2 F. K  K9 c2 z}
        
$array_images = $str_attachmentArray;
$images_number = 10;
: T7 G6 _" g, |$allow_priv = $allow_readpoint = 1;
* |# G  V6 K% F- m; A. M" o$updatetime = date('Y-m-d H:i:s',TIME);
# m$ z0 t. F' u1 p8 A0 e        
$page = max(intval($page), 1);
: k% b' y: F2 y, p3 i( |6 A( n$pages = $titles = '';
if(strpos($content, '