PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
' u) I, d# y; r& D! B
   要转摘的兄弟们，你们还是带个版权吧！   

! e$ k+ [  j7 ?  组织 : http://www.safekeyer.com/   (欢迎访问）
1 P$ l6 e  z) y! r9 N% B; P% ]
author: 西毒    blog: http://hi.baidu.com/sethc5

! ]0 m$ m8 r+ x6 q     

! W' R- G' R' z' N其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

' Z0 m0 K: M/ R& O: J) N- s过程不明显的我就省略了。
2 J: O0 ?( F5 E2 {/ N8 J& x& |
7 ^1 h) Z- K6 C在preview.php 中第7行
2 w) G3 L' w; l* S
; X3 i6 B: g2 |0 V! l$r = new_stripslashes($info);
# V: O3 Q( {5 f6 I- B1 V
我们跟踪new_stripslashes这个函数

0 R& Z% P3 o# k, V在global.func.php中可以找到
/ G! `0 N5 O0 ^# g
# t3 h9 H, A3 I% Y6 A1
+ @; C( ]7 i4 H5 H2
3
4
5
) d8 f' R+ ]8 T6 function new_stripslashes($string)
{
" w6 P4 `( S# @- r1 n5 n    if(!is_array($string)) return stripslashes($string);
* c4 i- W8 {3 z! k    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}

/ u0 R% K1 k  r# E1 f5 M5 o这个函数的功能不用解释了吧
+ W! p+ I% e. T/ U- m* X# K8 F5 w0 b
所以我们看具体应用点再哪？
0 e# j3 T' ~  j$ d% h
1
: W$ `3 U  k3 d$ u) \/ O  T9 m2
3
4
' E" n; R: t7 P  K9 p% C4 D5
6
) u- M$ ^- E  n7
- C, x6 e2 h) f  [+ D& ~0 T2 ]8
9
10
11
12
13
14
( R( h: A' d8 W0 y4 t15
16
& a. |+ V# s! q* K17
18
% g+ A, g0 V: V# b19
" v! P4 Z8 v4 M! F20
# \- u! C( l; a( t( j21
22
% Q1 P: ?' M# r% m: T/ \* r' v23
4 A0 k, Z1 k4 @7 ?; w24
6 H1 l5 E: p' Y0 m: Q# e* b25
6 D7 O- h  O2 g% \4 p- X26
! c) L+ x& @& g; B; c" i27
7 z2 T; ~8 N% C4 U* F28
29
30
3 T; u8 ]7 D$ W  u31
  a8 u' }0 R. C6 d2 q32
33
- P3 ^7 n9 o8 @! `7 Q0 N4 x34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
1 P( p/ s9 }/ W$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
9 Q  I. }" ?0 S* G: Z$ q$out = new content_output();
- ^+ L7 W; K0 p4 `3 k$r['userid'] = $_userid;
$r['inputtime'] = TIME;
5 V  F% ^; z( ?6 f+ e. `/ H9 Y: b6 Z$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
# d4 E9 ]% _/ q. S5 }% b3 w. }    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
0 P2 _. a( N: W! W  V}
% q$ c! u5 x7 M! @( g0 c* y        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
- R4 ?1 o7 w5 ~: v6 |* ~$updatetime = date('Y-m-d H:i:s',TIME);
        
: _- ~$ L9 K& O% u: V$page = max(intval($page), 1);
& v- ?7 _3 u- K1 {0 W/ q' q" e$pages = $titles = '';
: Y% ^2 _4 }# bif(strpos($content, '