PHPCMS 2008 最新漏洞之通杀注入漏洞

admin

0×01 前沿
% ]; ~2 J5 [* M) ^3 w2 W
' j* K( `/ v( V! n  q2 \  y      Phpcms2008 是一款基于 PHP+Mysql 架构的网站内容管理系统，也是一个开源的 PHP 开发平台。Phpcms  采用模块化方式开发，功能易用便于扩展，可面向大中型站点提供重量级网站建设解决方案。3年来，凭借 Phpcms  团队长期积累的丰富的Web开发及数据库经验和勇于创新追求完美的设计理念，使得 Phpcms  得到了近10万网站的认可，并且越来越多地被应用到大中型商业网站。

0×02 写在前面的话

    phpcms 2008 这是我看第二次代码了，之前已经发现了一些问题，只是没放出来，这次稍微仔细看了看，又发现了一些问题
/ w( j  F; \6 A3 N2 D: m5 W& x3 b
这次就放2个吧，其中啥啥的getshell暂时就不会放了，比起v9来说，2008的安全性能确实差很多，模块化以及代码严谨程度也没有v9强

, s# e9 m7 r, g' i) `0 h这次还没把代码看完，只看完几个页面，就先放2个有问题的地方，如果有更好的方式，到时候一起讨论

, {* s" J# h& M4 Q, C% d0 \0×03 路径? ? ?
7 H9 k) z* Q! j
    在include/common.inc.php中 ，这是phpcms的全局要加载的配置文件
7 B: X4 _1 X: w* o! H8 j/ p
$dbclass = 'db_'.DB_DATABASE; require $dbclass.'.class.php'; $db = new $dbclass; $db->connect(DB_HOST, DB_USER, DB_PW, DB_NAME, DB_PCONNECT, DB_CHARSET); require 'session_'.SESSION_STORAGE.'.class.php'; $session = new session(); session_set_cookie_params(0, COOKIE_PATH, COOKIE_DOMAIN); if($_REQUEST) { if(MAGIC_QUOTES_GPC) { $_REQUEST = new_stripslashes($_REQUEST); if($_COOKIE) $_COOKIE = new_stripslashes($_COOKIE); extract($db->escape($_REQUEST), EXTR_SKIP); } else { $_POST = $db->escape($_POST); $_GET = $db->escape($_GET); $_COOKIE = $db->escape($_COOKIE); @extract($_POST,EXTR_SKIP); @extract($_GET,EXTR_SKIP); @extract($_COOKIE,EXTR_SKIP); } if(!defined('IN_ADMIN')) $_REQUEST = filter_xss($_REQUEST, ALLOWED_HTMLTAGS); if($_COOKIE) $db->escape($_COOKIE); } if(QUERY_STRING && strpos(QUERY_STRING, '=') === false && preg_match("/^(.*)\.(htm|html|shtm|shtml)$/", QUERY_STRING, $urlvar)) { parse_str(str_replace(array('/', '-', ' '), array('&', '=', ''), $urlvar[1])); }

/ f( ~4 m1 Z/ s这里的话首先实例化了这个数据库，产生了一个$db资源句柄，他是用来操作数据库的

7 t& X; i9 I1 z1 b. i# E& {- @; j然后就是将我们传进来的参数进行变量化

这里有一些小过滤，自己可以看，所以这里传进来的参数就作为了变量

但是接下来这行呢？



if(QUERY_STRING && strpos(QUERY_STRING, '=') === false && preg_match("/^(.*)\.(htm|html|shtm|shtml)$/", QUERY_STRING, $urlvar)) { parse_str(str_replace(array('/', '-', ' '), array('&', '=', ''), $urlvar[1])); }
5 @/ \$ }" y2 Z1 n6 I
4 v/ E% L' G  I
0 Q& C) Q3 o: }, p
- h/ H5 D8 S3 s9 F. @5 k, k看看这里？

% d) N& G/ C1 O% N5 r这里的QUERY_STRING来自前面
  d8 {9 t; M6 m, C& y6 N1 P2 }$ c/ d
' y5 C8 e7 C6 Y" B, U

; t2 w8 M8 l9 mdefine('IP', ip()); define('HTTP_REFERER', isset($_SERVER['HTTP_REFERER']) ? $_SERVER['HTTP_REFERER'] : ''); define('SCRIPT_NAME', isset($_SERVER['SCRIPT_NAME']) ? $_SERVER['SCRIPT_NAME'] : preg_replace("/(.*)\.php(.*)/i", "\\1.php", $_SERVER['PHP_SELF'])); define('QUERY_STRING', safe_replace($_SERVER['QUERY_STRING']));
这里有个过滤，但是不影响
* s8 L" G  T. G' {; Y: G2 u
* Y8 B4 h* k. P4 s- G如果我们在这里进行覆盖这个db变量呢
( P, i( e" E5 ?5 v# L0 C
因为这里 parse_str(str_replace(array(‘/’, ’-', ’ ’), array(‘&’, ’=', ”), $urlvar[1]));

可以将我们传进去的/ - 进行替换
4 V% i3 R0 N$ V
所以我们如果提交如下字符
; k9 h  q. p* b. k  b# U/ F
http://localhost/phpcms/index.php?db-5/gid-xd.html

8 ], P4 r' u$ n$ I他由于这个db被覆盖就会出错，所以物理路径就爆出来了
7 P0 g2 `5 b% s" E" W+ E
+ p. r; H- I2 x0×04  SQL注入！！！

  在c.php中



<?php require './ads/include/common.inc.php'; $id = intval($id); $ads = $c_ads->get_info($id); if($ads) { $db->query("UPDATE ".DB_PRE."ads SET `clicks`=clicks+1 WHERE adsid=".$ads['adsid']); $info['username'] = $_username; $info['clicktime'] = time(); $info['ip'] = IP; $info['adsid'] = $id; $info['referer'] = HTTP_REFERER; $year = date('ym',TIME); $table = DB_PRE.'ads_'.$year; $table_status = $db->table_status($table); if(!$table_status) { include MOD_ROOT.'include/create.table.php'; } $db->insert($table, $info); $url = strpos($ads['linkurl'], 'http://')===FALSE ? 'http://'.$ads['linkurl'] : $ads['linkurl']; }
, M* z6 x! h7 B' `# ?3 |

5 J/ w8 P1 c! @$ A, B
注意这里的HTTP_REFERER这个常量

: g' T2 H' u# I, d+ ^这里的常量是通过前面的common.inc.php定义好的

define(‘HTTP_REFERER’, isset($_SERVER['HTTP_REFERER']) ? $_SERVER['HTTP_REFERER'] : ”);

没有经过任何过滤操作，所以你懂的，我估计很多同学已经发现了，只是没去公布了，所以俺就替你们xxoo了，哈哈…别骂我
8 s' E$ K% w& F
然后
) V  J* ?1 S6 L# f9 W' {
4 b; B7 M0 a6 n/ y0 D8 r5 f$db->insert($table, $info);
8 I: a( p- ~! ?! L; t我们来看一下它这里的操作
0 \$ U* N% M6 g8 v8 a. P( [
function insert($tablename, $array) { $this->check_fields($tablename, $array); return $this->query("INSERT INTO `$tablename`(`".implode('`,`', array_keys($array))."`) VALUES('".implode("','", $array)."')"); }
" q# v1 |+ T( X  R
- i4 q+ H  W+ U0 V- C所以你懂的
- G2 I; Y# c: z: T
) s; b* j$ Z% v* `$ r$ u. `
4 a0 _% x5 k. r
. G, J0 ^) y1 H& I附EXP：http://pan.baidu.com/share/link?shareid=468231&uk=4045637737
) L+ n! v% t+ O/ d3 w  `( s- N& O% ~! m

# \3 g- l8 r! N4 x3 e3 \
7 t% d5 q; N$ T" L  ~' \' L