找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2501|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
说好的第二季来了......
' {/ ?" D- Y2 _9 g2 z0 f: L: z$ p) k
5 d; l9 w9 t, F2 G! H# z% C   要转摘的兄弟们,你们还是带个版权吧!   
1 K+ Y" f! u" I* \- t
! h+ w9 _/ J4 V0 A: X  组织 : http://www.safekeyer.com/   (欢迎访问)% h6 |$ U: I+ J. F) d  w6 ~
: y+ I* p. j) L0 _( r: E; @0 c  v3 k
author: 西毒    blog: http://hi.baidu.com/sethc5
  b3 G# n+ v" g. \/ n4 E0 z  T
5 y! G& N5 N# y  ]     
& k4 J5 J, c: r9 Y
: A, R: G0 X' s3 X: {其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了.; q1 t' g; n- ]8 A) d1 I7 H
5 @4 Z$ V0 d4 O' ?0 Z
过程不明显的我就省略了。
+ z$ \( c2 t9 z6 h8 [. M: O+ o/ n$ \& R& W. j
在preview.php 中第7行
  g: _5 }7 R9 |+ d- I% m. |
% G5 W( d& g' N( D. y$ y4 `2 c* Z$r = new_stripslashes($info);1 p  q6 N6 O9 Q. K1 v& x8 y
+ L/ u) l4 j6 H9 m/ H
我们跟踪new_stripslashes这个函数
( n8 s- j1 f! K+ i% {- U( C& W5 H* F8 u3 g/ h& g
在global.func.php中可以找到
' v( K* }3 P7 {5 [
  Y% M# P: Z' Z8 A& d" d1
* c% w% r" Z; J  \$ y2
. d% B* m0 p2 n& H2 [4 a3; ^$ u$ V# `- V% G. F
4
% x  p, L1 L- ?) _$ Q7 i59 e: S  C* c" I! q' i# @
6 function new_stripslashes($string)
  l& B  k, O+ f5 g6 i{8 |: z: S9 W& k% y
    if(!is_array($string)) return stripslashes($string);
/ K  T' }8 N6 l% y    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
7 n) y3 B% s: Q# v$ ^5 ]0 j4 n    return $string;
* M* U9 e% r; O0 j" B" p5 Y} % a+ E/ ~- @  o& j& U$ c( u8 ~; I
& Y% ^" U0 r  m6 Z3 @# ?/ T
这个函数的功能不用解释了吧7 D& q$ m$ K) U; f( K

0 o2 i, Y  S$ G8 q8 O/ v" I所以我们看具体应用点再哪?9 g7 d! t4 b3 ]2 B/ p: V

" h& F+ F' K6 o7 Q7 }1# U3 c% O) a, ?" L+ b+ R: Z; G; k
2
, u& J9 h4 T& M; ^' `/ a  m3
0 ]5 G: b1 n: e2 w4
) ]5 ~! U9 m' t6 X& B0 u5' d9 W4 H7 K# G$ u. i
6
; O; ^4 e! m" A$ c0 {72 e: \5 }* \0 q2 T
8
# \( k: b$ d' F) A1 ?( \9
1 M7 ?: }! l3 l3 r7 Y  q. U10  v* }( Z! t# a1 |$ v( B
11
4 A& W) j4 @0 ?1 f+ @# v124 r* Z7 x# S5 P% z& M( l
13
8 Q+ W  o1 X' W/ p: m146 \9 C& g& Q# E4 s) ]
155 I2 Y8 P) I, e$ r
169 Q0 W  i' _7 F2 v/ K# L
17
, y; D" M/ |3 T: j187 Q& o. a  q7 h2 s9 f1 m9 t4 {
19
$ R4 H5 c6 _3 D4 P. Q% M20
7 V9 M$ R9 }% N% H. J21
# m9 Z/ }4 y* ~8 c/ y22
1 Q6 @6 f/ @# e5 H9 P4 [23
+ o' _& Y, h8 R6 J, E0 e24
; N2 |" h2 {; T9 B257 x7 J6 A. q: [' {0 T
26
3 h) s, S5 [5 {$ ?* k0 p7 j278 J6 {' v! C) W: `3 [" z+ Q: C
28. F/ l$ T7 C; D( S: V
29
! w. _- ~0 s8 i30
* e7 |4 s+ g0 F& e: P% q312 `- _. U' f2 E" t% r- R1 T' Z5 v# {: ~
32
' x0 `( Y) v, i) D: h! ]$ |33
9 r2 ^( p; T; W34
1 b# ^+ \" a* S7 \35 require dirname(__FILE__).'/include/common.inc.php';( m7 [7 Y. u2 M3 O- D" B  {
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.; O, v9 q/ A" y( G$ I
require_once CACHE_MODEL_PATH.'content_output.class.php';
% ~) b' u. z8 d3 x- t) C% Crequire_once 'output.class.php';
2 n) [( d$ `- Z5 kif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
- l% F1 b$ X" t" H8 M) h3 J1 h$r = new_stripslashes($info);   //反转义了.....关键; B* ^7 a) Y3 x& ~  q, i
$C = cache_read('category_'.$r['catid'].'.php');
& P) x9 O4 I4 P, n* n3 l$out = new content_output();0 Z+ [( v1 H- V- m: v1 m
$r['userid'] = $_userid;7 o4 D' G- f3 I/ H; t1 o9 Y, n% D
$r['inputtime'] = TIME;4 |4 o8 o) K1 K$ _
$data = $out->get($r);
4 a5 d, O! m5 g+ F. }extract($data);3 V( x! W! T( Y7 S9 g' n- e
$userid = $_username;
: L% c; _! v7 y/ Zfor($i=1;$i<10;$i++)
) O" E9 H# f) E$ O: M{
  u4 w2 `$ G' e$ S/ f    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");% ?1 f# Q$ y. M; e. V
}
0 }, g6 t* }/ d        , V+ n$ {+ y- l" E: P& ^
$array_images = $str_attachmentArray;
! x- ^5 K4 z! \, v7 L( i1 c$images_number = 10;
; t8 V( `4 H  a' T' ]$allow_priv = $allow_readpoint = 1;
6 D6 y! |. E' c+ ?, ^$updatetime = date('Y-m-d H:i:s',TIME);6 E3 T. \  x  e8 V. Y' V" |
        
: I9 t. x( M9 E3 q. ]5 `% Q$page = max(intval($page), 1);
( _5 b* P: V+ B: @3 p$pages = $titles = '';
$ _) g) J2 W" S) e6 bif(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表