PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
( S* L- l* x! W0 K
7 B% {8 G! ?) M  d   要转摘的兄弟们，你们还是带个版权吧！   
- Q* [& C  D# O, `) K
* N3 o, S' u' f' T6 |* L6 z  组织 : http://www.safekeyer.com/   (欢迎访问）
+ X8 [$ A6 z+ o
, m" u" y+ M. \author: 西毒    blog: http://hi.baidu.com/sethc5
7 r+ q; N0 G0 Y( d; w9 U1 M8 ^! U
6 y2 ?8 ]: }  Q  w% j9 L7 L     
2 d* G0 [7 X3 Y- A: c' w
* Z9 A4 u3 l6 g, b7 o1 d- k" Y其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
2 v$ _7 \3 p8 H$ W* B7 y& v( S
过程不明显的我就省略了。
3 Q9 p9 ^. N3 E' }
在preview.php 中第7行

* l1 J) H" ~/ j6 q& E$r = new_stripslashes($info);

: y) M/ q0 T5 b  T' ?" X9 X我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

+ z% t1 V- z; n& X6 `1
# u9 V, A7 i( ?+ M2
5 y% ^/ a: e, v# {" l) o& ?3
% A0 O9 U# U+ n: p) s9 N& k7 @4
5
6 function new_stripslashes($string)
) @* c. P4 o: u' V3 ]{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
$ R: o! k$ [" L3 K/ e: M: c    return $string;
}

: O( `1 C" H- M: s& {% f! h$ P& ~. {这个函数的功能不用解释了吧

% L5 t  R9 m- T8 e! b: c+ F所以我们看具体应用点再哪？
1 \' m9 e* K" ^
; l0 }& @( o+ U5 U1
6 c+ |' @  n) Z# z* _  {2
- A9 a+ ~$ n4 \3 ?3
- Y4 ~2 K3 I$ Z- `, k6 D; N' e4 |4
+ ]: t) Y8 @  z6 B7 N; R5
6
6 N1 ?: \# l: f! W0 y. z$ {; d3 G2 t7
' q5 t7 y, N. J7 O# T1 |8
9
10
11
12
7 t+ h( H  b. b, j5 u- u9 k! L4 `13
9 R4 \" [7 P/ \14
! t' n9 y/ g" B) M$ P: T15
; O; d6 \* T9 b9 Z* c( H16
17
' e4 t* H" V. g  _5 ?/ R18
19
20
21
22
23
24
+ s& w7 R* J1 }: h2 T25
, p9 r) K. l: u, k' {26
27
6 {" f! a3 q3 g28
29
30
6 B/ M4 E) y# q* x31
32
33
34
+ m7 p' x0 Q' V! m$ n1 Z7 t35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
0 }; O4 ]4 q3 |+ vrequire_once 'output.class.php';
5 z& e  Y! f. ^1 B* @% ]- gif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
( A/ i0 T$ k' P1 e2 m# v$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
  y; y" @$ g/ i# h3 _) T. \+ S+ [$data = $out->get($r);
9 v! Q9 F  Z8 ?extract($data);
$userid = $_username;
! p+ L/ O/ M; K/ @2 R6 ffor($i=1;$i<10;$i++)
0 I. o/ @/ A* Z! c{
! k! [  V) G0 K5 U6 l$ [    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
$images_number = 10;
2 N6 w9 b- V3 L0 C$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
4 p' s7 M3 N; R* M( w$ \        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '