PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
5 _1 v# x& O5 Q
7 z9 o5 U0 l9 R8 m7 e" }2 O. e  组织 : http://www.safekeyer.com/   (欢迎访问）
) V  l5 f8 R9 z2 b
. K0 u5 P6 |3 i) p  m, Pauthor: 西毒    blog: http://hi.baidu.com/sethc5
4 S/ V( D3 t( q
     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
7 G5 n+ a! P/ z* w4 j6 K. E- B
过程不明显的我就省略了。

在preview.php 中第7行
2 `! q: ^2 L  x5 A' b
$r = new_stripslashes($info);

, k! x: n: I8 C7 s我们跟踪new_stripslashes这个函数

$ f- @3 Z9 `1 U+ ~# S+ ^在global.func.php中可以找到
& C  _+ w" U3 z, u2 n  x
1
2
7 S9 z. T+ [/ ^, i. a3
4
5
& n2 L' R' r! z6 function new_stripslashes($string)
{
( w+ Z' o2 n$ m+ A! i- i* o6 p# a    if(!is_array($string)) return stripslashes($string);
5 ]4 f' W% M5 t+ x& v" V5 O    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
# M9 }5 _, `# e. Q" ]    return $string;
}

* W5 z. R. @) }* |4 p+ w这个函数的功能不用解释了吧

7 O6 l4 L0 I) V, l) z( n所以我们看具体应用点再哪？

2 v/ D/ d5 J! X7 c8 [0 H1
2
6 L) I) H) r+ s" p/ W/ \) X3
8 r. Z# \) U2 e) X4
3 u! d/ e4 D  t8 V0 B5
4 D) M8 P( t# k9 w( |# \; |4 N6
7
, A* _! A2 o# ?: U2 T8
6 b2 N+ v  l- B2 s6 F6 @6 v9
- s- H" \  i4 P10
11
12
13
2 M; t. z, t, |& T# _! w14
15
16
17
18
19
* u7 K+ q/ p+ a8 N: {; G20
, _) I; k9 \& E' t3 @8 T4 C+ @& c21
22
+ t+ j, S& r1 J0 r$ F% u( z/ z23
8 V7 Y" C( X! X24
4 i, B8 n' W, Q3 Q$ {, J7 K25
26
& F; ~9 a: L3 t( G. E27
28
8 P; j) H3 t  W4 H3 f29
30
31
* T9 B! S0 c# s32
33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
  ~% F: X# o; ^) H: n: a$r = new_stripslashes($info);   //反转义了.....关键
$ P/ W+ R& s+ b* H9 J3 W9 V5 w$C = cache_read('category_'.$r['catid'].'.php');
8 G( r/ M+ U- t. Q1 J$out = new content_output();
+ P) d4 U: Q. A- @* F$r['userid'] = $_userid;
$r['inputtime'] = TIME;
) z( ~+ M; k/ i- _! E" [$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
% k# v" j4 e+ P& O* Z# F{
4 p4 c2 e# `4 o" U    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
) `( a' L$ Y. [. W* k" ^}
        
$array_images = $str_attachmentArray;
! x4 E9 A, L  b1 L, A7 H( E9 l0 Y) w$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
% m. w6 L/ q7 B& }' @8 L) Q" |        
$page = max(intval($page), 1);
1 ~; k* ^" [, u! q+ {: b+ i$pages = $titles = '';
$ t1 J4 R1 B4 s/ k& [! Dif(strpos($content, '