PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
& h, M1 e! b5 d6 C7 }) p
  组织 : http://www.safekeyer.com/   (欢迎访问）
: u# }" P+ m2 z6 _
) \* D. k3 r. Z) Pauthor: 西毒    blog: http://hi.baidu.com/sethc5
( d5 A( i# Z& y$ Z! s5 d
     
1 |$ _$ z2 }7 I3 n9 R4 O/ e
4 ?, J+ t- t3 Y- g4 N) s1 N7 J其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。
# c" V% F& \" @2 b; e7 H
! U. F& N1 w9 g在preview.php 中第7行

% [7 X+ W  a3 l4 Y9 w9 C/ X- v$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到
/ x! b' T- P' X
* D5 b6 _% p5 W7 g! t! N1
2
3
# K# ]7 u, x* W( j  h( q4
/ T" W8 o1 {) S# E  V1 j+ O5 s; `" R( t5
6 function new_stripslashes($string)
6 I. f& [/ v' F, f* Z. _{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}

这个函数的功能不用解释了吧
# e% [2 ]+ x5 @8 i! ~( l) I" }) I
. }8 }9 h% U, a. R所以我们看具体应用点再哪？
; F0 l6 f3 u% e' B7 f; a
1
4 F2 z, P, i. }# A2
3
/ E$ v0 {4 P$ ?0 {' r! K8 T8 X4
5
" u/ E5 d8 n5 P! {) n! m+ |5 M6
7
4 h2 K+ T9 Q7 t8
9
' B+ _) U4 G! l10
11
" {8 O5 p1 C/ m2 d12
13
14
9 F! O! k1 y' e3 M( Q& f15
16
17
8 m$ o; j- ^* i; T) D18
+ C, O% D' D/ c8 Q7 l19
; K/ b" b0 g; ]. t/ r20
3 n; t8 ?; M- T9 u4 ^0 e21
22
+ x. E7 y; T: Z. B  t23
6 \" D. Y; C+ b" H$ h5 X- n24
# H$ [. v  d3 }6 d' k, y. X25
5 m7 V- h9 c/ `( P% r$ D4 @( c; k" c26
; p. N4 ^1 R8 s+ f' Y, A% S27
28
29
7 i+ ~" J9 T# S' Z4 R' t30
, r( l; |) C: E( f5 O31
2 @) Q/ n, X# H1 r& K8 r, h32
! J& _7 f7 R: K  N  a33
; u: j) q* o( X" _; V+ `34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
6 N& E3 Y* N" @- u% xrequire_once 'output.class.php';
- d- N! o( C% y* H( m# Gif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
# S1 l4 v2 d/ ]/ J$r['inputtime'] = TIME;
, b$ o6 L# u* Z4 H: t, P$data = $out->get($r);
& W* ]" [2 j' W( D% [& |extract($data);
$userid = $_username;
* a6 f9 p4 f6 ?, y1 Pfor($i=1;$i<10;$i++)
! W& ?# U% X# s{
8 H) c% b, ]! Z# t/ @" O  b    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
' j' p" e: T5 A6 i2 r$ |; q( T( n}
        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
" i3 T2 d; w2 x4 B3 u' W. K$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
1 d  |- f* M4 \$pages = $titles = '';
% F" i9 i: _# ~" L3 j" @if(strpos($content, '