PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

8 m$ R# V$ k3 S+ Kauthor: 西毒    blog: http://hi.baidu.com/sethc5

     
8 j2 g( u% m" }4 b- L
2 J, s; o/ x6 B, c/ h8 A6 f4 d, _* F3 t其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
. R  ~' r! t/ k9 m0 t7 t8 A
过程不明显的我就省略了。

在preview.php 中第7行

& H  ^; }7 y( |+ G$r = new_stripslashes($info);
7 X3 f1 O9 }1 d2 I
. T) F, _5 s- s- {$ I: P/ F* L我们跟踪new_stripslashes这个函数
9 T% E1 M# L. D# b( \
% o7 O, E4 T# |5 Z! r3 X( n在global.func.php中可以找到
, |  x. M" ?& p- A
1
2
( J! t9 m" ]0 b# `8 \9 P3
4
# T- F2 m) \1 q5 K: q: N/ g5
4 ~: x! q( S" s) W6 function new_stripslashes($string)
/ E- y9 _5 V* P/ R+ p8 U{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
$ R+ g& v, k5 b" j    return $string;
/ `9 ^6 g; I  Q; {, I+ `( D}
* r. N8 m) }% ?& S- E6 z9 o
这个函数的功能不用解释了吧

所以我们看具体应用点再哪？

, o7 @4 X; m; r7 E. t; i) K1
2
' I( {2 r! K6 Q6 h5 D% ~3
  t6 A& G$ W: r+ s! A4
5
3 `0 I7 U4 X$ P) {/ \0 t) H+ ~6
7
. M7 D  j' n+ D9 {& w8
9
9 a% \$ W  h- k10
11
3 B" o1 z0 b$ h' ^- h3 ?12
13
14
15
16
17
4 b4 m: w. F) X. @9 ?5 u9 s1 e. Q2 @18
1 @! Z6 {$ b+ F# p4 N" a19
, g1 x9 g! U2 m2 _" |5 v7 B4 U20
- J. Y. q4 ?& O" v" ]3 V2 Q# d21
! S; k4 s1 }: I' W22
23
1 j1 J" [0 P& Q+ o, F% v7 V. k24
25
& x$ w9 \5 p- n) b$ r# A1 J26
# g" k8 t" `; Z8 t27
( V" |0 g" X4 J9 y4 ^5 c28
29
& Q3 y; J* \* z- {4 z! A; S30
31
% D  O/ [) }! D0 u% Y32
# q: @  B8 r/ s7 i! I) h1 f7 l0 L. s- x; U33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
& R. Z. e* t7 c) N! |% vrequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
* g1 G, x# W2 \) o$ @$ _: ~$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
( H5 _) }1 f" |. F5 ]( F$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
+ q: o" L! {" W2 I}
5 `* ~2 x) f3 Y% I/ ^: W        
; V7 ?/ \8 V4 y8 V, ]$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
+ ~0 p2 |( b6 E4 d/ |$updatetime = date('Y-m-d H:i:s',TIME);
& _2 x9 d, r3 y# {- l! c1 y5 _2 @        
$page = max(intval($page), 1);
* b4 I0 W3 e( x" [: j$pages = $titles = '';
if(strpos($content, '