找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2677|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
说好的第二季来了......
7 g& b. X) i8 M' \: b" A* X
; a4 n  O2 {, @   要转摘的兄弟们,你们还是带个版权吧!    3 @% h' x" g7 E% _6 a$ t- {% D2 }& x6 p

3 ]8 O- C4 C  U& Z: A0 J  组织 : http://www.safekeyer.com/   (欢迎访问)4 n7 L& ?7 f8 K
8 G) j! t9 [% U  m9 ]: a9 M+ t6 I
author: 西毒    blog: http://hi.baidu.com/sethc5
$ S3 f9 q5 G' ]& L% }. ]: N0 H+ A: ^5 j/ [$ }# M8 N
     
1 }0 a* w5 g4 F
1 n- w. C: n2 N其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了.
7 r6 Y2 K1 a0 R. j! H6 ?6 ]! ?: A+ g1 f& W
过程不明显的我就省略了。0 K3 S, `! U% K7 ^& ]

! @& b5 j2 E2 I在preview.php 中第7行
! D0 Q/ v: A( Q; q4 J9 A; G1 ?3 R/ m" l  K2 m" L
$r = new_stripslashes($info);1 }! Z+ l: W2 M4 @7 o
4 r7 v3 N* r/ ?. N
我们跟踪new_stripslashes这个函数
! P7 J; ]: [1 S0 k) Z. F& e( k+ ~
在global.func.php中可以找到
' g; Z8 }) i. _' u2 h
* o# m% ~1 I* {) L3 M+ \1# |" h" }' W9 n: v
2
: ~+ z7 h9 w* x8 S1 X0 \3( d+ @( f( K# F
4* a5 C$ c  ?, u, ^
5
/ D( e1 G$ |2 ]% x$ I; V6 function new_stripslashes($string)5 |0 l1 Q4 ~2 ]8 j& A
{
$ ]0 i* O9 |8 s0 |; z- `  y    if(!is_array($string)) return stripslashes($string);
5 O, ?' X1 N0 Y+ Q7 S+ i    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
+ A& [* s; R$ M    return $string;0 ~9 Q1 R# a+ U+ B
}
' k. @# J$ E+ G  X8 N: I; T+ Z3 V7 }' n
这个函数的功能不用解释了吧
: D! }. _8 P1 i; _
2 i& m* I6 P$ L- `; v& {所以我们看具体应用点再哪?7 g) R/ f2 h7 g# b- P7 l# x; N+ U
  s5 P1 G% J5 V: n6 ~
18 O4 v1 k4 M. g" S$ @* [7 W
2
# U- l) u# R  l5 C5 L7 A4 T3) k4 }, k: S( }3 R5 q+ V7 N
4
9 m. j) ~9 M& z5$ Z! h* `9 r% N1 r1 T
6
8 {* q" ~" c: W. M" s7# V! L- l7 a! {) y1 s/ J8 C
83 e- q9 N5 B6 ~; d' d" A7 `
9
# ~3 H" ~& `! {& c10
' p# F6 B8 K' s% V9 Y' p% |4 T! ]. b11
# f5 N; F! C; {1 W+ X* _129 m. |% I( G& _( Q: a
13% ^$ ?( H6 e  w
14$ R7 Z- v3 R" [9 }' @' ~
15
: f( _& D/ M! C/ H* R16
. i% i: z9 P) Z8 {& `+ }17* H. y0 t  O; {9 d; k
182 ]6 I( x6 H9 F0 U
19) H' ?$ z9 L  P# Q5 I4 x
206 o1 \. @3 O! G( R
21
% @  N3 r& K* j, V+ X% s7 Q/ h22
6 e0 e) I& C$ N# B1 D23
0 F4 S2 W4 R3 S+ j( E$ M% v* ?' c) F246 m+ h+ L; F+ Y4 s. \7 `: `$ q
25
: I+ l, ^  \8 \$ R* l+ L26
' _* C/ s7 F! D27( S& e: K' G* I. K# c# r0 [) S
28
- G( i( X2 ~) Z4 c2 W. s0 S$ S3 S29
, M' k4 I# ?- _9 @306 [# L$ x( z6 `7 }
31* y( L" M( e1 @, N" @0 f- r
32
2 a8 }2 c6 F$ b330 K: P# g, }  S8 z$ \8 a
34
8 r4 F+ q% j; P' A35 require dirname(__FILE__).'/include/common.inc.php';5 }( f4 B! d7 `; w
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.* ^- Y  T) \' Z9 |$ j, A( n
require_once CACHE_MODEL_PATH.'content_output.class.php';$ ~' _. L8 X6 g0 V# S# {0 G& @$ X
require_once 'output.class.php';- h% f7 ]9 `/ u& f3 K$ N
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了3 S( Z" L' }2 P! h% g4 V. ~
$r = new_stripslashes($info);   //反转义了.....关键  s% W/ O  ^2 L
$C = cache_read('category_'.$r['catid'].'.php');+ S! E- {# O4 Y  x- X
$out = new content_output();
0 M) \1 q( q1 }. }7 z5 B2 U; o$r['userid'] = $_userid;: S& R2 N& j: }  [- C; v' F% z
$r['inputtime'] = TIME;
/ p& H' M; q7 }# l& M$data = $out->get($r);9 x8 v# z* J4 p( f
extract($data);
: Q9 N. _' ]8 k0 c, Y$userid = $_username;
1 z# Z: b' d* ^: d7 Rfor($i=1;$i<10;$i++)
6 x. Y/ n0 _# Q{
; \3 g$ u! ]6 Q( x+ x7 ^    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");2 e, N$ \; q# B  c
}
+ a2 U% K7 i; E+ s, ~        
+ f6 {! q2 }" I9 L% d$array_images = $str_attachmentArray;1 K* o% q8 ~8 E' \! _
$images_number = 10;
+ w0 o9 H+ [, E. x* \7 }$allow_priv = $allow_readpoint = 1;
- y( L2 O7 d/ U7 i- ], ]1 e$ \$updatetime = date('Y-m-d H:i:s',TIME);
! D/ N2 x; C8 J3 {        4 {1 N1 t* O4 i" u$ x4 @
$page = max(intval($page), 1);( ?6 {! l# @/ s8 J
$pages = $titles = '';3 F0 o- m/ Y8 a+ t
if(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表