PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
% |: n5 E1 s7 c8 S" y) B. a: X' w9 o
8 w$ A7 M9 I( Y2 Y, _2 T   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

, o5 b& X% Z5 C. Q% Nauthor: 西毒    blog: http://hi.baidu.com/sethc5
% A' }# N( W9 |6 w' f( Y9 y# b
     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
  s: U& n4 Q/ k# p
过程不明显的我就省略了。

在preview.php 中第7行
& ?9 u4 M: B- G/ C- H( ]/ H7 K
0 b- ]- T1 f: e( E3 o' B' ~$r = new_stripslashes($info);
. J- G# }2 ]; J
& ~  r; s& J5 Y: H& j9 |' ~我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

1
2
3
6 l2 @5 E& G9 ~4
5
6 function new_stripslashes($string)
{
. a- g8 \9 j: L6 s/ R    if(!is_array($string)) return stripslashes($string);
3 B& U# V* z2 R: L; n; U4 z    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
" _! f! |- ^' J0 l    return $string;
}
9 t0 C3 B5 m" t% v' M( d& v" N
) d1 @0 \' F5 i' E5 X) P9 o这个函数的功能不用解释了吧

所以我们看具体应用点再哪？
4 k4 c& D( j6 S9 x# D4 t: q6 w
3 ^. D# E+ e. ?; f2 R/ {1
' [8 d1 I0 `" M  ?0 G2
3 q* ]/ M! t0 @4 @$ ]: Y8 r0 I3
! @. N: ~# Y; ~, e6 O5 m4
5
+ c' ]2 p. r( _. E) t6
; z( F, e. y; K7
8
9
10
6 [4 K* B* Y! W. r11
12
6 `; d* v- O/ |2 w8 ?13
14
7 V: d5 n7 |6 ^; t15
16
17
* Q) e8 B! ?4 S9 ?18
19
$ }; C7 \  D2 D) r/ q4 Y20
$ n( H. j3 @6 n& }21
3 c4 E  |7 l) r% M+ \1 U6 m( d22
8 e2 }# o3 \0 I/ R. c23
24
25
2 h4 s7 b# H1 U! d6 c# k% I* _3 v9 v26
27
  q8 F3 l1 i$ i# X6 D, _% T28
0 E9 Y  ]; k+ W  ~29
# m/ ?" m7 A( g: K7 x8 o5 a30
9 N4 C9 ~' {& a0 E. P31
8 a7 g# M! S% y2 U5 s6 m32
33
34
( S6 g5 t  p2 Y) G/ c35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
& Y' b/ j, [4 V; wrequire_once 'output.class.php';
9 h* g2 s! |+ B$ G( _$ u$ ~if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
, D$ X* \* n  @3 s: V$r = new_stripslashes($info);   //反转义了.....关键
% }0 W5 _0 n# j8 ^$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
( a6 C; b) k4 v$r['userid'] = $_userid;
  V9 [  q; \6 Y$ i$r['inputtime'] = TIME;
$data = $out->get($r);
5 t( H5 k! H9 h9 _+ r# [extract($data);
$userid = $_username;
3 Z8 t5 ^9 S( V3 j& qfor($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
. F4 z# _, R$ |. C, @9 Y        
$ R. Y3 F, R& Y8 B5 q$array_images = $str_attachmentArray;
8 S+ E( a- j2 ]+ y, j9 G/ d' c$images_number = 10;
  S$ ]6 ^6 |% H* W1 @$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
- `; I- R$ `  B; G. c        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '