PHPCMS 2008 最新漏洞之通杀注入漏洞

admin

0×01 前沿
" `! _% g) W/ n2 M7 n
; M& x5 t+ d+ ^; ]" I      Phpcms2008 是一款基于 PHP+Mysql 架构的网站内容管理系统，也是一个开源的 PHP 开发平台。Phpcms  采用模块化方式开发，功能易用便于扩展，可面向大中型站点提供重量级网站建设解决方案。3年来，凭借 Phpcms  团队长期积累的丰富的Web开发及数据库经验和勇于创新追求完美的设计理念，使得 Phpcms  得到了近10万网站的认可，并且越来越多地被应用到大中型商业网站。

3 J* }1 f/ b. \# H0×02 写在前面的话

5 B' p6 T; H7 [( H2 q* Y    phpcms 2008 这是我看第二次代码了，之前已经发现了一些问题，只是没放出来，这次稍微仔细看了看，又发现了一些问题

这次就放2个吧，其中啥啥的getshell暂时就不会放了，比起v9来说，2008的安全性能确实差很多，模块化以及代码严谨程度也没有v9强

+ v3 q2 Y+ S* h这次还没把代码看完，只看完几个页面，就先放2个有问题的地方，如果有更好的方式，到时候一起讨论

0×03 路径? ? ?
3 ?5 V: ^  {: c, L% ]7 i2 ~
    在include/common.inc.php中 ，这是phpcms的全局要加载的配置文件
0 J0 V  O: u! e0 |
$dbclass = 'db_'.DB_DATABASE; require $dbclass.'.class.php'; $db = new $dbclass; $db->connect(DB_HOST, DB_USER, DB_PW, DB_NAME, DB_PCONNECT, DB_CHARSET); require 'session_'.SESSION_STORAGE.'.class.php'; $session = new session(); session_set_cookie_params(0, COOKIE_PATH, COOKIE_DOMAIN); if($_REQUEST) { if(MAGIC_QUOTES_GPC) { $_REQUEST = new_stripslashes($_REQUEST); if($_COOKIE) $_COOKIE = new_stripslashes($_COOKIE); extract($db->escape($_REQUEST), EXTR_SKIP); } else { $_POST = $db->escape($_POST); $_GET = $db->escape($_GET); $_COOKIE = $db->escape($_COOKIE); @extract($_POST,EXTR_SKIP); @extract($_GET,EXTR_SKIP); @extract($_COOKIE,EXTR_SKIP); } if(!defined('IN_ADMIN')) $_REQUEST = filter_xss($_REQUEST, ALLOWED_HTMLTAGS); if($_COOKIE) $db->escape($_COOKIE); } if(QUERY_STRING && strpos(QUERY_STRING, '=') === false && preg_match("/^(.*)\.(htm|html|shtm|shtml)$/", QUERY_STRING, $urlvar)) { parse_str(str_replace(array('/', '-', ' '), array('&', '=', ''), $urlvar[1])); }
8 }, d( O7 b# e( ?$ Q
这里的话首先实例化了这个数据库，产生了一个$db资源句柄，他是用来操作数据库的

; v0 X$ _& N+ F# M) H然后就是将我们传进来的参数进行变量化

6 `- z4 d$ u, V. G! Q* Q这里有一些小过滤，自己可以看，所以这里传进来的参数就作为了变量
" L4 S6 G3 y2 G" @3 f. a
4 h+ }  r' x) [但是接下来这行呢？

5 j' T5 o, ~; M( _# \  Q& |
( `: {& p/ L4 {9 R. v; B. p! c* U
if(QUERY_STRING && strpos(QUERY_STRING, '=') === false && preg_match("/^(.*)\.(htm|html|shtm|shtml)$/", QUERY_STRING, $urlvar)) { parse_str(str_replace(array('/', '-', ' '), array('&', '=', ''), $urlvar[1])); }

- y/ J  A3 \, R  i6 D' U

0 b5 Z( S% A4 e( c* V: R3 i5 I* P+ S看看这里？
4 e/ G9 }2 H$ C# t8 y6 h
这里的QUERY_STRING来自前面



  f) b- e# O4 R- Ydefine('IP', ip()); define('HTTP_REFERER', isset($_SERVER['HTTP_REFERER']) ? $_SERVER['HTTP_REFERER'] : ''); define('SCRIPT_NAME', isset($_SERVER['SCRIPT_NAME']) ? $_SERVER['SCRIPT_NAME'] : preg_replace("/(.*)\.php(.*)/i", "\\1.php", $_SERVER['PHP_SELF'])); define('QUERY_STRING', safe_replace($_SERVER['QUERY_STRING']));
, m( D+ C' h# Y7 R' u这里有个过滤，但是不影响
' c3 O4 e0 z1 {5 u# Y3 m. u" `
/ H; t  @* n9 n0 j3 o* t如果我们在这里进行覆盖这个db变量呢
' S. G5 I0 ^# {3 C' f2 n
; m2 ^' }3 d. p因为这里 parse_str(str_replace(array(‘/’, ’-', ’ ’), array(‘&’, ’=', ”), $urlvar[1]));
4 F# }) [* y8 D' ?) ^: x2 Z) C
( V4 O0 t6 d5 M& u6 u' w可以将我们传进去的/ - 进行替换

所以我们如果提交如下字符
9 a8 J% N: c% N9 `6 W
http://localhost/phpcms/index.php?db-5/gid-xd.html
9 E7 R- T" p9 _) ~" V
; m' a4 G; B/ B9 C+ y" u% W' n他由于这个db被覆盖就会出错，所以物理路径就爆出来了
' z# E" M6 _4 O$ D5 r3 m
0×04  SQL注入！！！

' ~: I9 e  y5 ^1 _, ?0 ?; I  在c.php中
  D) S) K; A7 ~2 [* E' U

/ P4 i# ^* f8 k! o4 {; {2 g2 `
0 H1 ~6 e- o( m<?php require './ads/include/common.inc.php'; $id = intval($id); $ads = $c_ads->get_info($id); if($ads) { $db->query("UPDATE ".DB_PRE."ads SET `clicks`=clicks+1 WHERE adsid=".$ads['adsid']); $info['username'] = $_username; $info['clicktime'] = time(); $info['ip'] = IP; $info['adsid'] = $id; $info['referer'] = HTTP_REFERER; $year = date('ym',TIME); $table = DB_PRE.'ads_'.$year; $table_status = $db->table_status($table); if(!$table_status) { include MOD_ROOT.'include/create.table.php'; } $db->insert($table, $info); $url = strpos($ads['linkurl'], 'http://')===FALSE ? 'http://'.$ads['linkurl'] : $ads['linkurl']; }



; m" ?6 g  \+ |; @' y注意这里的HTTP_REFERER这个常量
, I8 W1 y, c( N; l8 i# z6 ^' w7 s
这里的常量是通过前面的common.inc.php定义好的

define(‘HTTP_REFERER’, isset($_SERVER['HTTP_REFERER']) ? $_SERVER['HTTP_REFERER'] : ”);
) {, {& a/ b2 C
+ B) q; R4 {% v( Y  J没有经过任何过滤操作，所以你懂的，我估计很多同学已经发现了，只是没去公布了，所以俺就替你们xxoo了，哈哈…别骂我

然后
/ s. \5 K/ H# U8 f  |& s) n1 P
$db->insert($table, $info);
我们来看一下它这里的操作

, o1 _: t8 [0 J0 ofunction insert($tablename, $array) { $this->check_fields($tablename, $array); return $this->query("INSERT INTO `$tablename`(`".implode('`,`', array_keys($array))."`) VALUES('".implode("','", $array)."')"); }

$ y% v$ R& F8 T  b( L1 \# z所以你懂的
+ r- q  W( S* }$ l. V
& X' m0 Y9 o; r' W5 x+ a8 S: b
6 M4 h7 l/ f9 r# e0 p% v
/ d# r1 m* d& V& D, z附EXP：http://pan.baidu.com/share/link?shareid=468231&uk=4045637737
! A, a3 c; q8 h

" p& S, K0 B: R9 F; j+ e, |