PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

  @: L: C! Z1 P6 }8 d  组织 : http://www.safekeyer.com/   (欢迎访问）
/ F- Q6 J+ _! f$ d$ Q/ a
author: 西毒    blog: http://hi.baidu.com/sethc5

     
+ e( t* r. w( l1 K# A
8 m2 u5 J. ^0 @- T, f6 q其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
5 G% ?+ [+ x' h4 G
6 f/ ^* I3 l' x- j+ ?* h过程不明显的我就省略了。
2 n) Z7 F8 L. g4 L  b4 q
在preview.php 中第7行
6 j5 z' Q: e: E$ E
. t% P  F. J  F! n' X$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到
& K, [/ j4 T$ k
- V& K0 J! Q! y6 b, T/ T8 u2 H1
2 l6 m* N; e2 B* i2
" ^) V! }+ T+ v! x3
4
5
6 function new_stripslashes($string)
/ w+ U! I/ V3 G" y8 u0 h, x: x{
    if(!is_array($string)) return stripslashes($string);
- `9 X$ g' A" H+ G1 \" b6 {    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
" H! I+ [! \  \' C    return $string;
2 [) i6 K! R; d4 |) c% _}

这个函数的功能不用解释了吧
: S6 ]" F8 g2 m6 a
所以我们看具体应用点再哪？
0 U& j  T+ @3 V$ f" W1 E9 l  m
$ k, Z* `, m' y. F( s) h/ R1
2
  S+ w, B* N: h  f- j3
0 W6 F$ o, f# l, y: T# z6 W0 e3 O4
; G! ~$ c% |, i! s$ N5
6
7
8
# J# M' u7 L1 V. t9
% d: o3 |/ t' r; c10
11
3 u# J; P4 o7 C0 B$ A9 D+ X12
13
14
3 ^! p; d1 N1 N1 K15
  B. w" D! S; j6 S16
0 H7 m. v) s8 L, F) B) G! M% r17
. Z  Z9 v- [+ P- s( w: T$ I4 t18
19
20
# a. E* l5 o9 t1 X1 Z+ B. T21
22
23
$ k% c& `1 q" K, v; J24
+ H2 r8 Z2 x( n  ^" _' @25
26
& B/ z- s0 t  J1 g27
28
29
30
4 u. R! t. C8 \  X* v31
32
33
* u9 I' n& U) q( F3 ]$ Y$ X  R4 L34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
3 `8 E1 J, N2 I& T4 trequire_once CACHE_MODEL_PATH.'content_output.class.php';
4 `& |' a/ ~1 y+ ^* Hrequire_once 'output.class.php';
% K8 l3 B7 F5 K1 R$ Iif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
& b! H7 H, W8 @  P$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
( J- s8 i$ s; [" E# V6 Y6 n$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
1 g0 k# K5 X) d1 t/ a, k$data = $out->get($r);
$ A1 C. J6 y/ [# l, f: gextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
" A" e+ d) q7 Q5 T    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
6 H" f# l! [: X! t  ]3 B7 ~* c# P}
4 k" ~8 S) B4 J- Y) }: B2 b        
) q* C3 q; f7 ~% X3 \0 ^. p$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
7 @1 u  ?/ J% c. a& k8 A% E$pages = $titles = '';
if(strpos($content, '