PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
: u' {0 e8 Z/ r6 ^) ]/ y7 h
( A7 c- W" L( [  组织 : http://www.safekeyer.com/   (欢迎访问）

3 J0 G% y7 @$ P9 ?author: 西毒    blog: http://hi.baidu.com/sethc5
9 P/ f( e2 b7 C
     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。

在preview.php 中第7行
8 u6 n* |. c4 t' t, N, T
/ Z$ U+ D" C" ~$r = new_stripslashes($info);

6 \' a- Y* Y) b- N- M% s我们跟踪new_stripslashes这个函数
+ V0 }: [2 L& O  k# A6 K
在global.func.php中可以找到
5 H2 F1 w" g+ ]& O
1
2
3
4
5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
* c* P6 S* ?0 }5 ~    return $string;
}
, R8 `% O6 a, @! ~  _# T4 w5 }
这个函数的功能不用解释了吧

+ D; i0 a: w+ h4 u# U3 F0 d所以我们看具体应用点再哪？

. m' z2 f* R# K9 Q2 d" M/ p1
( e4 O; V# ?& g" z! s2
3
4
( Y& j1 b9 j7 i! X5
6
7
# L$ O; R% Y9 W9 x/ l8
& N9 k6 p; {4 V7 x! e* m8 H0 P9
8 e- i# k1 W( C( ~. p* ^% [10
6 Q  h7 D# n$ a11
12
$ {0 i5 t  k; ?5 p13
14
15
& M0 H, K' I$ z4 A- m$ b$ x16
17
18
7 ?3 s* R! K0 p& A19
20
21
22
23
+ s/ @$ u- |# X; e* t; s0 j& |1 ^: o( d24
25
26
, X, G5 x6 r7 v4 o# a3 B: T27
" c: k& |4 j  v7 l) \0 S2 I0 k. l0 _28
) ^3 |0 \$ \/ a6 t) \9 l0 G, O29
5 G/ N) m, m/ ?( g9 u8 {  T$ c30
7 {* o  e- R( e. g31
8 @. L7 k" H# `32
8 f) Z: }3 Z4 D: p33
34
: Q& {4 T6 ^7 p% Z' w7 ]35 require dirname(__FILE__).'/include/common.inc.php';
$ M0 n& s/ z+ d$ eif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
+ X1 N& y; j8 Z1 l+ Crequire_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
, g# z5 n" H( i5 J! d2 m$r = new_stripslashes($info);   //反转义了.....关键
% {9 Z% {8 g& M' ]$C = cache_read('category_'.$r['catid'].'.php');
9 t- m- K7 n2 x3 @4 j5 b& G1 w$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
2 i* ]- }% Z$ u' m5 k$data = $out->get($r);
extract($data);
$userid = $_username;
" w; S  |" Z, U2 Cfor($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
$images_number = 10;
" @) F0 U: {7 c: f* b! C* o* a$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
/ e& B) A9 d9 {% Z' i1 ]        
$page = max(intval($page), 1);
$pages = $titles = '';
) w, a( o2 C# f- R( g, E. y  Sif(strpos($content, '