找回密码
 立即注册
查看: 2520|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
说好的第二季来了......
) I# s( G1 U7 m
0 h3 s$ M9 N- X$ h. n- T6 \   要转摘的兄弟们,你们还是带个版权吧!   
4 r; O/ `$ j) Z  t6 i) r: f# B4 H  s2 V8 y
  组织 : http://www.safekeyer.com/   (欢迎访问)3 ~/ j" v" C" h* X3 P- p) l: H

3 ^8 H0 w$ V- P9 r4 E& d5 x" M$ oauthor: 西毒    blog: http://hi.baidu.com/sethc5
8 W5 m) o( B- D  q
2 h2 U5 F" ]- j' v     4 X; r) l, y  p  [1 f- Z

. h3 M' F  p. s3 _( V+ w' P+ }其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了.
) g/ R' C- I( t1 Z6 s& @
( q) Z; Z# _' M% M) b, G. R过程不明显的我就省略了。4 ~0 U* U# a* s

0 q. U- q9 Q2 o1 N+ g/ m; e在preview.php 中第7行$ X; l- z3 p3 F

9 v% T; Z6 m/ N7 r9 T$r = new_stripslashes($info);8 ]  f' F1 a8 D" B

8 h/ N; [; P* f$ S: L我们跟踪new_stripslashes这个函数
2 A4 B2 _. G( u* B/ t: N7 y' X
) [: ~1 R. y- S" k( X6 [在global.func.php中可以找到5 L( I- m: Z$ E9 B5 t
8 P& ?& q5 b& H( F& g* m  C8 |
1' h* l7 h& m5 _; J7 y  G
2# G- l& n% n6 w& T4 m; w/ E# ?# P
34 L& W  p  L/ Y/ g& g/ E
4& t1 O& X. d6 i* O/ e& r
5+ m* J1 l* A) N% D! n$ L
6 function new_stripslashes($string)/ G  @8 m2 r1 x. F) K/ R! A, e
{
- O" \$ k# B  k- I    if(!is_array($string)) return stripslashes($string);1 V- F  c3 U& F2 v! R# x) o* Y
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);6 u, q1 w8 g5 q/ z
    return $string;" _% a+ Z7 C& I( i
} + L! J* G8 m+ Z# |! z9 f
$ H$ b% o+ M5 }
这个函数的功能不用解释了吧
  r- T9 x) e. W& N8 U
/ b' n1 K, ^0 r6 w所以我们看具体应用点再哪?  f4 w) v" d; e8 [* x

9 Y9 o! a: I5 f3 j1* G6 ]) E3 \% S# `
20 ~  I& J( `( T0 }8 D
3
' O  q3 o+ X$ W! L) ?; K45 X" C- V5 u6 _+ k5 n' w- X
5
3 e; h0 P& }* L6' c* n, v9 u' `) E' F9 V1 C+ X8 S
7
. ^( A, T  _/ Z0 y& M' b8; q' i: x( ]2 S4 X6 Z$ T
9# u# @1 h% A% ]( L2 \3 Z5 c9 i
10: s$ Z( n2 p$ L+ p1 l8 k
11$ w( ^9 A0 }+ y! L& V) H
12
6 W' Z) ]. e/ u& d; `6 m" y13  d3 P$ T" p1 X4 a
14. a/ L) \" _/ _; P
15
3 |& [1 u0 c! J; Q. ?16# @( H% |3 K* \! E. S* M$ Y7 ?' M
17: S3 K% X. T- p2 p
18" x( I5 H3 \* o" G2 h4 A1 y5 C
19+ p% Z% r+ ~/ @
20/ X! b' h0 k5 n# F
21
+ T7 y* k8 r# S& {" \% c- z22$ F3 F- w$ T5 I
23: q8 M& I8 S6 I  u5 K- K: p
24
9 L/ j( i; G7 z* n6 G6 I$ A! d25! Q5 }: {& W# {
26
2 v. e% ?' \# T27# @" j% |8 s8 k/ M9 n2 R. S3 Q
286 s1 x# ]5 R; w' J& P
298 N$ g6 o/ _2 e! w, z
30
0 F6 r# G* S6 y$ d8 F  g/ T( p0 z31
4 N1 I9 O! N0 U8 D* f+ [32
& I0 q6 h5 y3 R% |. ]331 k& T4 ?8 I9 M  V+ o; S
34
( \4 b# J5 w0 C* j+ L! z- n  \+ I35 require dirname(__FILE__).'/include/common.inc.php';9 c5 [  C  h' S3 l( z, e7 u
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.$ O5 Y! {7 i4 R* p6 l4 V
require_once CACHE_MODEL_PATH.'content_output.class.php';
% N$ [5 u% Y5 C8 o2 y5 orequire_once 'output.class.php';
# D. v0 P1 }; ]' [if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
) {. Q  ]  ^4 Z* c& V$r = new_stripslashes($info);   //反转义了.....关键1 M, s% s  A4 O
$C = cache_read('category_'.$r['catid'].'.php');& l0 Q0 l3 w: Y3 h
$out = new content_output();
: N! U0 i* a0 R8 M& Y: p$r['userid'] = $_userid;, i/ o) _9 q! J2 X" X. [" E
$r['inputtime'] = TIME;  E& U& K5 \+ S4 U
$data = $out->get($r);1 {) |: H  ~7 s3 ~2 G% q( `8 t
extract($data);: N0 [, g0 K  ]4 \. `
$userid = $_username;
7 j# ]/ u/ p9 x$ ^$ ffor($i=1;$i<10;$i++)
2 }( [4 @8 s& {/ I2 Z{2 m0 F. m& M8 K% o0 X5 H0 B
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");! C8 H+ O' H( o$ g$ i
}
. O4 u$ ~9 u: \( d" h/ F        . _- ^! P" N- V$ n  _: _
$array_images = $str_attachmentArray;" O7 Z! Z1 j. f* U: S
$images_number = 10;
9 b* |( q& l5 F* Q# U" \$allow_priv = $allow_readpoint = 1;
, V5 W# f; D, Z! r$updatetime = date('Y-m-d H:i:s',TIME);  `3 x2 K: y# k) x& w
        
9 B) T) m7 y1 |( |% f4 ~$page = max(intval($page), 1);
2 y' `6 p+ X' G& k$pages = $titles = '';
; x7 G' x& x2 _2 j4 L8 d( a7 bif(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表