PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
7 E+ P1 n9 G, h+ j! f- Z  b
  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

7 R1 r- ~4 V) M4 z$ c! ?过程不明显的我就省略了。
& b3 I- o0 H, W5 n! q, w) \/ p
+ O) X) {% P7 O6 Y在preview.php 中第7行

- V: z! @/ h* T8 J$r = new_stripslashes($info);
3 o, E4 r  V7 g9 _+ O
  M. {& S  R" v3 c我们跟踪new_stripslashes这个函数
; y2 \( {( x( n, h
7 q2 |5 R4 p4 S在global.func.php中可以找到

) Y- ^+ j9 G1 K$ B+ g1 [1
: S7 }$ M1 E4 I6 ]2
) H, L& J& F3 }5 @5 D+ B3
+ |+ A/ T$ X- \. _1 H& c0 d4 b4
5
, T& |* ~; u$ v  D* y2 a6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
2 X2 A' ~- Z- I9 r7 Y, d    return $string;
* h5 C5 n0 t* y2 _" [0 N}

这个函数的功能不用解释了吧

所以我们看具体应用点再哪？
* v" a3 ^6 |' u, c0 v8 b
1
2
3
4
" N' B+ O# [* L. e# m5
6
# v! l3 B4 J1 _* k  v" a& d$ [7
8
9
10
11
& l3 ^; D' `+ E$ t) J0 Q) x$ H12
6 {/ l' Z2 ]* E/ P/ r+ z6 T% i13
9 e7 d$ Y% U' T/ J/ T14
15
16
17
18
! w" d  r: K! \9 P% ]* Q$ M19
20
0 ^) }1 q* |2 h0 C  U" W9 x21
" y2 w) _9 n& x+ V- g22
: I9 f: f6 y& I: H1 L) E- v- n2 U23
! O% Q. o, \: ]0 b& E24
25
26
8 B. h: o# B! S; Z27
( C  A! y7 b* x28
29
30
& {* Q+ @# K* b& j1 i; i31
- m* q9 `9 g6 ^32
33
34
8 e. p1 e, G5 O4 l) A3 d35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
! @4 D5 j5 V# k+ \require_once CACHE_MODEL_PATH.'content_output.class.php';
+ x" [5 Q$ U: e( [! X, x4 crequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
9 B& q/ L8 S" z: c: _$r['userid'] = $_userid;
" T7 u1 L6 b; ?$ b$r['inputtime'] = TIME;
$data = $out->get($r);
) P/ r3 }* |- F3 _) dextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
* x/ W. ]' E8 x$ y" {6 c{
. I" f4 T. V' Y! D$ q  @, l% B    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
% n! _, s8 o; X8 p+ B# i' g}
        
) R  i3 v2 b" Z$ D" T$array_images = $str_attachmentArray;
$images_number = 10;
' `. c( I0 Q( l& W- p, [8 k2 n3 Y; W$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
% ?/ K5 S/ z% N# f- b$pages = $titles = '';
9 A) b/ d/ `- ]+ `8 ~if(strpos($content, '