找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1945|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
说好的第二季来了......
; q7 v: N8 U  I; Q7 l8 C
/ a- Z7 v$ j% k' t   要转摘的兄弟们,你们还是带个版权吧!   
/ F7 G' p8 j: N
9 f( D0 I. E4 d  组织 : http://www.safekeyer.com/   (欢迎访问)
6 q2 K- g$ f9 M' u( I$ Z, s6 n
. k: u3 p7 T  ^) G2 h, {author: 西毒    blog: http://hi.baidu.com/sethc5# E# m* C' g3 e
6 A6 z. x6 n  h% z  ~
     * E- a' q9 T" l! ^3 ^; \$ z
8 I/ {" r; K* ^7 j" f
其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了.6 N7 ]* \7 A& B- u8 I

6 I: s. C% @; r4 t  k6 r过程不明显的我就省略了。
4 H6 i4 g! z1 \# Y+ K) P5 K# S# Y  U
在preview.php 中第7行2 |6 r+ g- M. T

( }: L. E) K/ E9 u$r = new_stripslashes($info);3 ^: Y0 b) P# K' j/ Y5 y- a
0 V  {& B8 _& F9 U* U
我们跟踪new_stripslashes这个函数
2 m" Q' L3 C- r: W" ]1 N
1 P9 c! J  }" X8 q8 }在global.func.php中可以找到( P( ]! W0 g( J3 ^4 r5 c

0 I- O7 n! j  C5 D! u1' S3 ^: ~0 f- J2 q9 U
2
8 g" S0 W  }! R4 e+ z$ P" J/ Y* g3
* y/ g6 j0 a9 ~: S46 ]2 c1 k6 Y* M/ V
5
6 S1 z" q! m/ [5 T1 F- w8 [3 D" z6 function new_stripslashes($string)
) b. H# X: G- D; V{
0 j  _4 q0 R) |0 E6 |    if(!is_array($string)) return stripslashes($string);: f: F4 |3 _3 Q
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
% g9 o' g; Z3 k! l    return $string;
4 E+ Q+ N9 Z1 l0 s6 K}
  r$ Y( s2 e! g$ e# a: `# Q. c
( f0 o5 k3 q* y+ w4 N, b. v6 z/ O这个函数的功能不用解释了吧* K$ V" n* _  `; u8 B4 K$ Y
; [; M! p) V+ o& M2 L+ F' \/ f
所以我们看具体应用点再哪?. E" c' a) J  }5 K/ a
6 v1 t7 y5 }/ w3 X$ f, D1 _& _! P1 V
1+ k+ T  b- e9 y, r5 }
2
) @6 p. `* A; E+ \& O34 a3 A6 a8 L/ o2 s0 y% i
4
# T4 v+ k# j' R6 ?6 D0 O5+ s5 R/ B8 q4 i! }& c# G
6- M/ ~" \( }% a2 W
7
; B+ K& s8 }" [* u! h. \8" j& H3 F6 v, M2 E( u7 F* K3 V
9& f6 e( n( {8 w1 ]* h
10
2 W9 @) B' q* w0 Y' g+ n11. J. V5 D3 q# b  Z) R
12) Q; s5 e! r! Q0 i3 G% [  I
132 S9 \" I* Y2 q; r9 U
144 }' ]+ C* O; Y  b! _" H5 C. N/ t" {
15
2 r, g1 c9 n0 H/ n8 ?4 O/ v16
0 A2 t$ C# ]7 R! y: o: X# E8 l7 R172 k/ Y. [2 L9 N! i4 T3 Z% L( N5 |  p
188 L* q! f8 Z) n3 Q; n
19
( m0 y/ r8 }4 W9 |, r4 w0 I20; f: y" T7 {8 H( M8 y6 f
215 d0 Z+ {6 G5 ^
22' q' P+ B" N5 l% |
23; |' H1 K7 m( a; h8 ]
24/ K' Q' T; i; V# h$ R
25+ ^: i! o8 Q' z0 D
268 q- Y. b" P0 S; C
270 A: t: k1 G6 T
28, X% p3 M$ O/ L( ]7 h
29
4 B* P3 O, k& {4 n30# p! N& Z: R3 `3 r# E( U1 E
31: _9 @, B( Z) U4 R, Y5 `1 v
32
6 N" U+ w3 j8 ^5 Y  Q  G33
6 D# K* A  ~& Z+ e340 Q8 P2 r* P6 p8 \& L0 d5 |4 T( D
35 require dirname(__FILE__).'/include/common.inc.php';
4 K. `4 m1 V3 z& Lif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.) G9 S$ J1 U9 y5 z8 D
require_once CACHE_MODEL_PATH.'content_output.class.php';
3 m7 i/ q- ^2 `/ wrequire_once 'output.class.php';
' Z2 a5 g( T1 a! Hif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
7 Y! I) t+ B9 d% s& H$r = new_stripslashes($info);   //反转义了.....关键3 q. T; X" |8 A. U7 G) n4 }8 }
$C = cache_read('category_'.$r['catid'].'.php');7 ?6 }0 z7 f/ s3 I0 o
$out = new content_output();2 P5 i: I5 v( d! S$ J
$r['userid'] = $_userid;
  n- I9 C/ a! _$ p9 I$r['inputtime'] = TIME;
) h5 |: K% ^3 S: r9 P" @8 K4 S2 ]$data = $out->get($r);
3 }/ W% e6 A0 }% D+ Textract($data);# E, J4 ^3 W8 Q' e3 W
$userid = $_username;
* Y" S7 v3 [2 D, ufor($i=1;$i<10;$i++)
$ m0 E' ]3 H- M  v; I{
# M1 S1 P- S" Q8 O* V1 O    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
+ y9 R. U- H) ]" U+ |8 t}% {4 e8 |4 D  V8 I3 l' E: @, O& W
        
: p" |# T2 J- d- A$array_images = $str_attachmentArray;  M/ E3 Q5 P% k0 J
$images_number = 10;
$ y. @3 \. y, A) x9 r3 y( X9 L$allow_priv = $allow_readpoint = 1;
+ J5 l. }4 g7 s; h" i9 {$updatetime = date('Y-m-d H:i:s',TIME);
' ~9 M+ f+ y+ l$ y        ; m. f3 `6 }5 _7 g$ M: r1 @- C
$page = max(intval($page), 1);
  B' ~$ P% E  L$ Q% }) O  m+ O$pages = $titles = '';& d1 A0 u3 N0 ?. h- \! o( c
if(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表