PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
0 M( [' R) z+ V
4 l2 ]4 K  c" D' a8 m   要转摘的兄弟们，你们还是带个版权吧！   

+ F) e2 p6 Q* v  组织 : http://www.safekeyer.com/   (欢迎访问）
) H* m/ b3 I6 e! \
author: 西毒    blog: http://hi.baidu.com/sethc5

     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
5 L* u2 g8 `. M5 T
过程不明显的我就省略了。

在preview.php 中第7行

$r = new_stripslashes($info);

& n% m" D. v( B! s5 b! Z我们跟踪new_stripslashes这个函数

, l: q3 o8 W3 }, _& p( z5 V$ M在global.func.php中可以找到
  K$ M, H' K7 c# R+ w
+ J# z( ~5 S5 |/ E1
, V/ G, m& C$ o2
3
% l  p* l; @8 O. m4 c; A5 O4
5
! ~( v9 g: n$ L3 [6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
- D, A9 T! B: j7 I: l    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
2 y) y# I( A( L4 A% u+ \4 n}

这个函数的功能不用解释了吧
8 k. q' l* R" I! w% ^( ]2 P  S1 h
所以我们看具体应用点再哪？
) a% O" T9 F  R5 f7 T  K
1
+ z# l1 Q. m  n0 @9 z6 j2
3
/ z; e+ F4 O  O( Y4
* E& Q' s  }& V, r2 R! C5
  Z5 b2 K9 x; e+ `1 K! m6
+ |* R. M) F) I7 I5 J0 t7
7 ~# |+ L8 I) D' W6 _8
9
; m# S' ]. t5 w  L; S8 o" r& j10
11
12
13
7 [: C- }/ J, l+ Z/ c14
9 @, m- o# D7 b2 w) L0 o# K15
- h2 m+ G2 [) ?6 G* B" T8 S: c16
17
18
19
20
" z) J1 f1 W1 X" ^: ^& I21
% y3 g  K6 R& X/ v  U+ X% w4 H22
23
24
+ N7 ?3 [9 K0 V. [4 L% L25
26
6 I3 X" v2 ?- ]) i* {27
# V) Z) r, Q$ d0 x% W28
29
* ^) r- l5 k- r1 o  S) x" n" ]30
31
7 t6 Y5 @* h6 a3 i3 T$ ^32
33
8 {2 ?) ?3 ?2 ^9 z& K" a) O" H0 ~" I8 A34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
( i% |; w. K+ l1 a( F; z3 l% a% Orequire_once 'output.class.php';
8 {6 j, y4 s6 pif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
+ B$ x: f; [( `1 `; }$r = new_stripslashes($info);   //反转义了.....关键
4 F& v  V2 A' o$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
. L1 y' C2 |: r% R, n$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
8 p7 T* z' P3 V0 p8 y" h1 |extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
2 w. o, t+ C& g5 v5 [1 _        
7 j. Y7 T3 Q  ^  P# z# c6 X8 @4 {8 p$array_images = $str_attachmentArray;
$images_number = 10;
8 m& G$ X. L1 V) T$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
4 c+ i6 b, v- m" u5 |9 Q, H        
$page = max(intval($page), 1);
- T+ ~  T8 H: J3 S# W9 j/ @$pages = $titles = '';
if(strpos($content, '