PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

  M" r. Z7 a, z/ `# b! d1 A% o  组织 : http://www.safekeyer.com/   (欢迎访问）
2 s; t5 H. b' D* q
% b0 g* e( r) k/ cauthor: 西毒    blog: http://hi.baidu.com/sethc5

/ z' f% @& ?7 C     

1 {3 r5 O3 u7 c其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
4 z  X8 X7 A& ^
7 o7 ~( m$ Z) S7 {( ]/ E6 v过程不明显的我就省略了。
# Q6 U' X& ^7 A2 R+ o2 X9 z/ l$ R
在preview.php 中第7行
" v7 ]8 ]3 L/ |
$r = new_stripslashes($info);
4 y7 K7 o- ]% U7 a2 x& f
# f% A$ t) V9 W我们跟踪new_stripslashes这个函数
% r6 P8 a4 _& ~
在global.func.php中可以找到

1
2
8 ~2 y" h  O( e: q9 k0 i3 L3
  U5 s: |, G/ H0 D. k0 s4
# ^/ h: {) i6 U( b; N5
) u, |. _, c: t* [6 function new_stripslashes($string)
/ i7 D. W* r1 e, C2 F" l& B9 V{
: _; I; K* N3 r7 b3 c, V& I  W    if(!is_array($string)) return stripslashes($string);
! Y( c) u8 n" T+ p' V    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
0 H8 b( @; }* [3 H    return $string;
- b( b* h8 C# N2 [! N}

这个函数的功能不用解释了吧

+ R+ T! N9 j, h! _' z) b所以我们看具体应用点再哪？

1
+ l. e- J' |$ ?9 K( U2
3
" ^. N/ R9 }0 V. T8 W1 ]. ~. {4
5
* D7 [. b# R2 p# J6
7
2 K2 S( j( ^0 c: p( B/ W8
$ }" f: \& w. @9
: _' F' H+ u0 r10
( A  m! ?" t( `/ N9 v# ]2 e11
& n. T' {: ^7 H. @. k! t  Q) l4 C5 X12
; d6 s4 I; X4 T' n8 x/ x+ P13
14
15
2 y! c7 r7 X' N8 x! B16
' e' [5 Z7 _4 Q8 O; G17
18
* [5 O* x# d& W5 A19
) U2 d- R+ A8 J& t% N2 W" h% Y& X20
/ q) l. j* G, s8 e% b" R- L& n+ c21
22
" D' R5 o) G2 G* a& w/ F# q23
1 a: A' h1 C5 w" M) @3 }  D24
( E/ f( ^( j8 b) z7 u; T25
26
$ B; q/ Y- T! O/ k  Y% x. a9 i27
% S2 S2 T% [6 B  ^5 z, i28
29
' p. K/ w3 c+ O/ Y7 R/ \8 g30
6 Z; n7 Q9 M, U$ s31
% c) \. ~; j* K/ v: _32
33
& ^9 n2 @' \" i# `# k7 g34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
% b; i. g, k, X& I/ t/ z6 vrequire_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
  f) X' I5 s4 P% v: s( ~+ aif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
& U, `, e( G6 f& H& d$ |1 ~& L% V$C = cache_read('category_'.$r['catid'].'.php');
0 I, E1 P' R' a3 L) M$out = new content_output();
2 ?0 R: `8 |, N7 {$r['userid'] = $_userid;
$r['inputtime'] = TIME;
( L0 Q5 o* @0 Y' C& U" E$data = $out->get($r);
7 c3 j- k' N5 c1 k  `: D) U1 kextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
2 O2 i# a7 Z5 J2 I$ I. |}
  c7 H: r; i' h/ h& B        
4 ]# Z; g: c! }$array_images = $str_attachmentArray;
$images_number = 10;
* v7 S# i8 S7 D  e" k9 Q$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
) X, x3 w7 O0 ~5 {        
% Y6 [+ t: S2 X* Z$page = max(intval($page), 1);
$pages = $titles = '';
# j' y/ ?- `) S9 j3 m# Qif(strpos($content, '