PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

( C$ C+ c" E, m' M   要转摘的兄弟们，你们还是带个版权吧！   

& g- x, o' |8 A; c' a2 L  组织 : http://www.safekeyer.com/   (欢迎访问）
2 q8 l! p8 l; v9 ]8 ^0 r
author: 西毒    blog: http://hi.baidu.com/sethc5
6 ?6 @! O; H; @  j5 W7 _
     
# _* k* o1 n4 t8 y
4 b0 }; J3 Q# b% L其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
! m. @% Q5 r4 q5 n$ e$ Q0 H; p
& i! M  q0 s+ E; Z) v) h$ B过程不明显的我就省略了。

在preview.php 中第7行
, {$ g5 g9 J' w' _$ p6 t! k7 a
' U6 r% E+ [9 ^7 V3 Z& ^$r = new_stripslashes($info);
& I1 W7 t7 h% T2 i' C8 _$ k
( p" C. X& s9 A: A; Z我们跟踪new_stripslashes这个函数

在global.func.php中可以找到
: i* S, G/ f0 p2 V3 }( ]2 P7 ]4 a  H1 d
1
2
3
4
& S' q8 S0 l4 X' R5
6 function new_stripslashes($string)
& }. s+ I0 b' a5 i; t8 e{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
" t- Z% X/ W9 h: m) P    return $string;
}
) e5 ]+ e! l+ I: t
$ J8 r  d) s6 @' \这个函数的功能不用解释了吧
+ `% F$ a& w7 a0 j& |0 L
所以我们看具体应用点再哪？

1
8 [$ a) E5 N9 L+ [4 v& x/ t2
9 o- b$ c% h( c4 }1 B+ s3
4
0 T/ L* v& _2 X' C5
4 d; e' z& j  P& ~, J) i6
7
$ C3 V2 s' c6 h8
8 J% l6 q9 f1 b" F2 @# L$ L9
3 L. ^. `" I+ T* i5 q% w4 X  v10
11
4 Q0 M6 b# w' d3 n+ j. i12
) x9 Q" m0 s! O. U& C! u13
14
( C6 o) y* I; a4 G: s+ Z- d15
16
: |1 U9 f1 v: _* T% O6 L) o( W; a( A17
18
19
- F5 t% p* D1 q3 ]+ g20
* X* i. O& \* L/ d21
22
23
* j1 O5 u4 J& o  L$ @8 P24
1 F/ v) d- A* {8 ^! e, D3 o, ^25
26
) R! f1 ~! W, B27
( G) r1 ~, q  F0 v% q7 f28
& s$ R8 W' m4 ]3 i# e' L29
30
* s8 T, W& [$ u" ]. {31
32
8 s7 F$ N5 C& Y2 x5 e33
3 X6 v! Y" F) q34
- W! Z2 B3 [& T" `7 e! v' O35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
9 ^0 i. y, V4 n. h; O; `4 _5 ?require_once CACHE_MODEL_PATH.'content_output.class.php';
; J5 {; g9 a6 T$ `require_once 'output.class.php';
$ t/ M# m6 L) I7 |if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
, [/ e- N3 A9 |$r = new_stripslashes($info);   //反转义了.....关键
. h, v) b1 a, N$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
3 q# k( o/ m+ g. ?1 `- Q$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
: P3 Z* m- H/ ~+ V1 [4 u    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
4 i" N) e6 C, w* [}
        
, L( v- e  Q  J8 M8 q6 X' X4 L2 |+ @$array_images = $str_attachmentArray;
* H, P1 O" W5 E$ {0 t$images_number = 10;
5 P7 {% ~3 K$ g, M+ l# x3 A. e$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
& J+ x6 T5 \/ k( I5 v! X4 o" h% ^0 ?        
$page = max(intval($page), 1);
. i, @3 _2 w1 r. J) Z, V$pages = $titles = '';
if(strpos($content, '