找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2055|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
说好的第二季来了......1 e3 j6 ^/ q8 ?: |9 N- \" I
" q+ l! }6 n! A. n5 T$ i
   要转摘的兄弟们,你们还是带个版权吧!   
. n2 X' |; S' b8 {% g
# |5 E/ @3 G$ A4 j( I5 O) Y) [- G  组织 : http://www.safekeyer.com/   (欢迎访问)7 E; X+ u0 ^" }3 e- J8 M7 H0 f

9 ~7 \/ j. {6 S; h" V0 R" M5 T# _! Aauthor: 西毒    blog: http://hi.baidu.com/sethc5
  q7 o  _/ K/ ~1 ^! F9 @5 n/ H7 L& l) i& z4 a; ?
     
6 Z6 l( b7 G8 r( E- j6 R
0 o9 m# Z& O! G! h3 H. [! Q# }' V1 P其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了./ ]; d1 Z5 e, a: I2 f# x  p
# T& |9 R$ U7 c: [# a0 h
过程不明显的我就省略了。
0 F7 D+ u  K8 j# t5 o9 }  G( Z8 U2 V8 e3 `4 q
在preview.php 中第7行
9 S* F  J2 J) u
7 u$ t! O6 t# r+ M1 d8 P, s; Q$r = new_stripslashes($info);
1 P3 M3 H* x5 m6 n0 {
* j5 [* {# A9 E我们跟踪new_stripslashes这个函数
2 M6 F9 A0 z3 _. x4 r  Q% u7 G; J6 p; @; l
在global.func.php中可以找到
, x: r- p& ?7 P! N2 w6 @5 t9 Y5 A9 x) U2 ?6 i
1
/ s9 W  _; V* e2
5 b1 \4 `5 t+ R( D1 L7 n2 F3
" p! ?* @1 ~6 R/ q' B/ O4 _0 J4) C# S, K5 a) I( g3 \" ?& B
5
& k* o8 o' V$ f6 R6 function new_stripslashes($string)
5 q" `8 t4 f$ X3 r/ i{: r4 q3 C) O$ B' Y! i
    if(!is_array($string)) return stripslashes($string);
: O6 L2 @* k- A* z7 A    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);2 s; A; Y) w) s3 r
    return $string;: C2 e- }! C: A3 [" k( l. P3 X
} $ E% k$ a8 |' K( _6 l

) _0 A, n5 [- T# _( s这个函数的功能不用解释了吧
5 q$ }" N$ ]$ b% Z1 y
1 u- Z* [. B, Y; p+ L所以我们看具体应用点再哪?% O) O" _! `( x- `" Q0 J$ T
" h* [' S5 \5 j" |2 k
1
5 x2 O0 H6 e& G. A8 e6 \6 z2
/ l$ B; W# x# M: {* X7 q, [35 r2 C* f  p1 p5 u" @- V
4
5 P* b( ~2 ^5 }, U$ \/ P9 q51 s+ ]. K, U# D( g1 C5 }- v. j
6
3 _$ _  F+ \/ ~1 J( t. `71 K1 C$ g' }4 C" S+ R4 V; V
8' @6 N( F  |- y" _1 _, l
9- k' v; L5 _4 m
10" V5 b' q$ r( N$ v& h& a, R
11! e, }! y& G# @1 K
12$ J7 A& _8 M6 u2 R
13& X  U  x  U$ X3 ~
14
: V: q0 h- _2 R6 U$ G6 f15
- s& l% H% O: p0 n- I) d164 B: R7 t1 O: ^0 C7 [
17
1 f/ M, D1 {/ z8 m6 d% _18
- x# K4 |1 M, N19
' r' x! _8 Z) V' c, I9 q( f8 A201 J  {' O6 k6 i* c
21" e" H- S$ Y5 H, E
223 ^1 X/ O( M; N; K2 Q. t$ }
236 ^/ K& b  ~* c# K( t
24
' w0 V9 M$ ]2 q/ v25! \, u- \' L  q; ]5 W' W5 Z
26
1 J4 k3 w/ U0 ^% J, H2 Z! \/ ~27. ]: ?: Y8 o: e  l2 X0 U7 z
28
( H$ h, k' T9 m" {  t; _1 `* r% [- M1 J  e29
- X8 Z. U* {( E/ l30
$ b5 c: n( m2 o+ s2 @3 b  r317 p4 P" z2 \1 Y6 ^
32
/ `1 q" c( _' W- Z! p33
" w* m* U! S) D34
, w' l1 h5 l" ^: u/ d35 require dirname(__FILE__).'/include/common.inc.php';; u  Y! Z: D, L, v
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
! L" S% }, ^) s: H4 p0 L/ P. hrequire_once CACHE_MODEL_PATH.'content_output.class.php';
3 d  w5 y8 [0 w( I4 mrequire_once 'output.class.php';
; t' W+ M" U% G/ S' H- Sif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
4 g1 G$ C0 l: z' U; w) d7 h$ P7 f7 \$r = new_stripslashes($info);   //反转义了.....关键
5 s6 S' P5 n2 O* f) I$C = cache_read('category_'.$r['catid'].'.php');
7 u& K) P- v# F$out = new content_output();
; I: K5 `8 G0 T# p9 o$r['userid'] = $_userid;
  l8 Z$ B/ a- P0 }. X$ g) N$r['inputtime'] = TIME;
  b( m1 z+ A1 L( m$data = $out->get($r);
: }9 s; I4 D5 t5 Uextract($data);. P! @9 ]* x1 }5 Q
$userid = $_username;# u3 C5 M( W; N% R7 e, _
for($i=1;$i<10;$i++)
: G) T1 [6 e1 y, \{" |( n( Q! z. s" S7 t  b& X) a
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");8 l0 ]; a$ R/ H9 ~. {* s
}+ S9 U+ G3 ]. U2 K" T
        
6 t. C8 ^- h! y- i% w  v, R+ p$array_images = $str_attachmentArray;
/ o1 |- B  j' {- t! b6 Z$images_number = 10;
, }1 {0 G: l8 d. P0 G" B0 ^& [8 J* F$allow_priv = $allow_readpoint = 1;* N4 w" {" K* X7 {8 {
$updatetime = date('Y-m-d H:i:s',TIME);
% V1 f! u  w+ H8 h+ P3 u6 q' G8 a( u$ T        , I6 F+ K- r" C# s
$page = max(intval($page), 1);% K$ r% n3 z+ b5 L& ~
$pages = $titles = '';
( }, R; z# W7 h* Q: S  b. r* M7 ~/ `if(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表