PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

1 M4 @* J' ?1 n+ g1 s  组织 : http://www.safekeyer.com/   (欢迎访问）
0 V2 e( j6 e, v7 O6 A
author: 西毒    blog: http://hi.baidu.com/sethc5
: m" j, M/ C* G: j. V
  r- Q+ S  q+ l2 [8 t9 `5 A     
. p1 u; K1 G5 S
+ A) `2 ~, Q3 l2 r8 g; J其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

5 a1 o( M& j' \过程不明显的我就省略了。
8 f3 P2 q7 D5 c( g( P; n
在preview.php 中第7行

$r = new_stripslashes($info);

+ R7 g) b- B" {0 \4 d  `我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

( T8 R6 K  q; M" \1
) N5 g* @# T+ j' \3 J2
) V* c4 y& h' V6 R9 l$ k+ M+ [, G3
% ]% ]7 y4 @4 R3 a; C& ]) s# h4
3 p! H$ G9 t& r9 Z' u5 j5
6 function new_stripslashes($string)
: ?) |: n+ w' v  h0 a: Y$ C{
    if(!is_array($string)) return stripslashes($string);
, p# V. {) B/ Z$ g, p    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
* `5 E1 x& Z) ^0 L) T! e    return $string;
5 S4 o, P  g% B5 P$ N0 e4 v0 s9 o}

# J+ d/ r0 o% D8 J$ F4 S4 U3 L/ h这个函数的功能不用解释了吧

6 a+ i: a  J. [  u0 ?9 T0 ^所以我们看具体应用点再哪？

! q7 }# U7 [% l4 Z5 z( q  D- l1
. ?) f: x7 S! C. @6 c  V. _2
3
4 T2 B5 t& R# C4
7 q, V* T" [4 W5
  L# _2 G" P6 d6
! _3 q% D! z% y4 r+ |7
8
! V# J  f4 o' S# m* ^/ N  C9
* ^& U8 M3 ^" ]( B# f) v10
11
1 c5 Q0 M3 j* [5 n; _/ U* N7 [12
3 O% D) @' M7 u0 J% ^2 J13
14
" l% F- T% v9 D, N. z15
/ n0 G5 U. Q; E16
17
, m6 {. X" l1 |; Y( U4 k18
19
20
21
1 P& r6 ?) _$ L( p5 q: U6 R22
23
# p  _) n  |8 x8 q* I4 ^( Q24
% i3 v( ~$ m3 M5 a25
26
7 {- K6 x' f) f- p: w2 q27
28
% D3 H2 j( F6 [" S$ |29
# d/ B5 |, G; G0 ^; k/ s30
/ w# m- }: x" B4 Z31
32
33
0 G& N6 i: g. q34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
! {9 w+ C2 y8 ?4 J& V/ C$ R' `$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$ x; t+ X# j3 c, A/ R$r['userid'] = $_userid;
$r['inputtime'] = TIME;
/ `# c; y' f2 ?; c$data = $out->get($r);
& i4 C+ W3 C0 H3 D7 e& v5 d4 ]' @extract($data);
$userid = $_username;
- P1 F! o8 P" P" Vfor($i=1;$i<10;$i++)
, J- ~" i, d/ ~) n6 j7 a{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
/ d- R' A/ \* q, g3 Y4 H9 U}
4 \3 }/ j5 v0 A  @  Z4 i        
$array_images = $str_attachmentArray;
; y. L+ i) }+ o: X$images_number = 10;
$allow_priv = $allow_readpoint = 1;
( s; x" u4 S% C+ P; A$updatetime = date('Y-m-d H:i:s',TIME);
1 m6 Z) e$ c/ f6 I, f: b        
& x! a/ {8 I% N' `$page = max(intval($page), 1);
/ T. l4 |1 J: s" V3 L+ \4 U8 J$pages = $titles = '';
if(strpos($content, '