PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
; H, f% i( Q% U' O2 f( [! k
9 D+ k. ?; n# I0 p" A$ f& K1 p   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

7 ^/ V+ S- k* n  b& c5 u9 l* jauthor: 西毒    blog: http://hi.baidu.com/sethc5

     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。
- G! [8 l! b9 t) Q% _
在preview.php 中第7行

" T% X+ L2 a9 U% v# F: J; p$r = new_stripslashes($info);

& x. L  g' m$ w7 `" R7 ^" I' `我们跟踪new_stripslashes这个函数

) n  J. s6 @; {3 Y8 q在global.func.php中可以找到

. Z- Q5 w$ z3 h4 u1
2
3
4
5
6 function new_stripslashes($string)
% B/ c. [$ X2 _0 `) r; P{
7 p3 q3 I+ ~5 l1 W    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
; }! `9 D5 s3 q* n, D$ K    return $string;
8 M; I* b4 r& [- V}
, Q4 J4 O$ V7 R6 U% H% I
7 ?8 d9 u) }* Z* P% g这个函数的功能不用解释了吧

所以我们看具体应用点再哪？

& m; L: G  l$ v$ @# C9 U- y" f/ E1 n1
, m4 ]( J  \+ c+ k0 R6 u, g- j2
1 G2 H* n1 H# I( a! w3 Z+ Y3
4
5
6
) f# G: H( n) U- o7 X7 F7
8
9
10
' f" |8 v& b1 C5 D' \11
12
% a- s4 d3 T7 m, S2 ~9 `/ P  Y13
14
  T4 }( T* q7 [3 p  r& y& n& e. [15
16
+ w% T; l, s  S9 g0 i% k* z. ]17
( R1 U2 J! M6 y. B18
5 ?+ {3 N( D4 R  c19
3 Z! z  {  V) ~! ?8 Y1 j  d: X20
7 Y6 J& ~* o- y: L& n21
22
23
24
25
26
/ g/ Y. v" X$ H) a27
28
2 N0 O. T% L9 S7 j, v! Z( b29
$ K. b2 a6 u0 d3 f30
+ W9 f$ `5 n* b31
32
4 K7 m5 J, n; t# o33
" D- i# b: q5 l8 C; M34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
$ \3 ]1 x  G! B$ Kif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
% p5 v: [0 ]; p9 J. B" M; l$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
" B; F9 J! `" T5 J- f7 i6 c$out = new content_output();
9 H7 z6 [/ k/ h1 L$ `, i$r['userid'] = $_userid;
  ]. v7 l4 B% a- V& V" Z  G/ n0 f$r['inputtime'] = TIME;
  p  g+ {5 j0 T. J$ v4 V8 c3 I+ S$data = $out->get($r);
extract($data);
$userid = $_username;
/ m! L/ P3 a3 B: t6 A  v% ?for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
' E3 @! f: M3 t/ K/ a6 r* A$images_number = 10;
$allow_priv = $allow_readpoint = 1;
8 Q2 r/ H7 L: Z0 n" D3 J$updatetime = date('Y-m-d H:i:s',TIME);
7 ~6 K% C& ^* L& Q        
$page = max(intval($page), 1);
$pages = $titles = '';
) d6 }/ A; D  K% T1 |if(strpos($content, '