PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
& A" }" M( Q9 p5 p' l$ p
6 B; z6 w# l; \) |  m) ?   要转摘的兄弟们，你们还是带个版权吧！   
; E+ Y1 Z2 G6 \% e
  组织 : http://www.safekeyer.com/   (欢迎访问）
4 M9 d) W3 z, ~7 k3 S
2 p' z. ~4 Q* ^author: 西毒    blog: http://hi.baidu.com/sethc5

" M" V+ W- N# K& A: V     
' H: F0 B& Y) ]9 d2 Y) T+ c2 |
2 W# s( x* b2 F+ C1 x7 o1 V其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
' z# W' m& ^; C9 |, }
; [% [+ h, c; m% n/ W) o过程不明显的我就省略了。
! P) G' s  t) Y; A
% l. [+ s2 W) `2 ^在preview.php 中第7行

$r = new_stripslashes($info);
, z5 Q) z$ n+ n- F0 c+ ~
4 N! v6 c) |- l% y+ P) `我们跟踪new_stripslashes这个函数

$ a1 D+ p- o0 b+ ?在global.func.php中可以找到
+ E$ h2 n# t9 X& t
: G# c$ J2 E' Y/ W& J3 _1
2
- X( J  ]9 ]; O# S3
4
5 U5 S; m# L$ P/ {9 {! F5
3 u6 n. ~( `& A6 function new_stripslashes($string)
! h; Q7 d8 p5 ]( f. }{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
$ o& ?  D$ ^# }7 k5 [}
4 y8 Y5 f9 V% E8 N
这个函数的功能不用解释了吧

所以我们看具体应用点再哪？
4 _5 _' G+ A8 i+ t
) f; H' i* g, s; W; t! Q1
& l' o( I* n7 C# d( Q; Y  x2
3
4
+ I( z  W7 g8 L5
6
  Z4 ~* t( a- n( D# }( Z' E" n( E7
8
9
7 ?* D7 \) N6 V( _10
11
12
13
14
15
16
17
18
19
, H) V9 }5 c. w: d9 ~. G, ?1 Z20
) j4 j% X5 g# _2 V% E21
% n6 M0 @* X. p: C# J9 T22
23
. z' [; i& B2 F9 z2 S1 Q% T24
25
0 ]3 s, C% h- D* e' e/ l6 m26
# A) O9 f( I$ M0 U3 C% e27
+ U3 x. @* p0 I' {' b8 o# Z' L. q28
/ V- ^* E; {" r# q1 @6 v29
30
9 S! X" U" s: O4 ]# V31
32
+ h' S/ C7 b' b% Q33
. W$ A' P! p! c% Z0 m* k: C" E2 M! p& Z34
. ^. `* Z$ n5 L$ y7 j# C35 require dirname(__FILE__).'/include/common.inc.php';
% o+ x) a* h" f2 y  U/ [( ^if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
* l' U; z* z, F2 Zrequire_once CACHE_MODEL_PATH.'content_output.class.php';
8 a! N( w/ h) S+ k* Y4 |% zrequire_once 'output.class.php';
9 X7 S8 i$ X; _2 W5 cif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
, `- w- h- T/ t3 S4 w$C = cache_read('category_'.$r['catid'].'.php');
# f/ w1 F. T/ h3 p( P$out = new content_output();
$r['userid'] = $_userid;
* A* j# _8 q7 {, u" n* X  T$r['inputtime'] = TIME;
$data = $out->get($r);
8 r6 D$ c% [, @+ E" `: K$ Cextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
, @8 {+ b, X% B. o( m}
        
9 S7 F/ t" Y! F2 L* F3 w$array_images = $str_attachmentArray;
$images_number = 10;
# r- g7 \8 l: F( m& f: z6 u$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
" i& D1 c3 P0 K  e6 N( a# K        
$page = max(intval($page), 1);
$pages = $titles = '';
2 C7 d, e6 k5 V9 \if(strpos($content, '