PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

* L* B4 L0 @- ]( b9 \' Y: o   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
$ F: a0 s; H" L' x7 i/ y' T, q9 ?
" h/ a8 C: ]( ~2 n& ~' w     
& l; B8 X5 ^; T" L2 @3 t( M
其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

2 n1 c$ F) E7 s( _$ ~$ F过程不明显的我就省略了。
% O7 k5 x4 h# Z$ y( e; J8 \
在preview.php 中第7行
/ I, p0 W5 k, t! a' }
$r = new_stripslashes($info);
0 m% a5 t4 k# ]
" U2 k( h' W, {1 @" w我们跟踪new_stripslashes这个函数
9 _- q( H* Y- @+ I7 E
+ [; R0 F. B" l( u4 A8 J% P* d在global.func.php中可以找到
4 l7 l) A$ i9 e/ V2 m
1
2
- T) n, i: z' s, y6 {! E3
4
6 Y1 e! z& X% e7 w' @5
) j5 M9 e+ B" p( b* x6 function new_stripslashes($string)
{
5 I, N% ~0 O# i: }/ b    if(!is_array($string)) return stripslashes($string);
% z) }0 R; Q% [  i8 k  O: L6 f    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
4 P. a  q, U* c- b) _( O    return $string;
}

6 G( ?4 }; t" q/ C- Y3 c8 Z这个函数的功能不用解释了吧
) h/ @4 A% y' g( o, E
所以我们看具体应用点再哪？
7 }: J3 F/ V2 R( E2 ~3 D
2 z4 o4 y! H6 f) ^) ]1
! c3 J$ r3 H2 p: `2
3
' }& r/ S7 ~9 u& Y4
% a5 \, F. q( m! H' w5
9 o  a+ L! L/ p( s+ ?6
7
( x0 g$ Q5 T; ]/ t8
/ ?2 }3 h4 Y0 s" {( F9
10
11
$ K: C2 w1 M) ?* B8 Z" ?12
! |- j; `, x# _( L' A13
# K! b3 L8 D- K! |/ [  }14
15
5 |; ^" h0 F4 Y* ]0 V1 e, u3 z16
17
18
19
20
- d2 ~. T9 J! D  X: z8 Q- i( b1 |21
1 n( D1 H; M- C. Y8 r4 t4 w22
* b3 `6 ]5 K! s4 Q& r8 Y9 ?+ H4 N23
24
5 h! a3 }4 C4 d( D; @4 P25
7 v# R7 r, H$ N26
9 @% @7 y& ~- n2 U6 i* ]. N; q! l27
8 ^3 o) C! T; _6 v& Y$ f8 _' s+ j28
29
30
31
32
8 t  f% F4 q& T33
* `3 \$ p. o/ f# w2 x2 F  j+ b34
9 O1 U* Q8 X9 J35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
. o& Y7 X5 d/ qrequire_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
* V1 i* O7 \  a$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
% q3 ?7 ?" b$ e$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
( P1 \; E4 ^# b6 `$ dextract($data);
) s6 g2 t& H; f$userid = $_username;
& `6 D2 s! v5 g6 Qfor($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
7 e" `5 v( J7 Q7 ~8 A1 h}
        
$array_images = $str_attachmentArray;
$images_number = 10;
4 y8 A; i0 G( F: u& t$allow_priv = $allow_readpoint = 1;
$ U* r' m! H% o3 z9 e$updatetime = date('Y-m-d H:i:s',TIME);
        
$ ]3 }. Z  t! Y% h9 j# x1 _$ }; u$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '