PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
: G% S& s( j4 R4 D' Z8 m% D; d4 M
   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

- {" b6 S- K5 ^: P! N: y4 ^- _. dauthor: 西毒    blog: http://hi.baidu.com/sethc5

     
' f6 t& X. U0 e! Y
5 ?3 q2 E0 P+ q7 Y其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

" w0 i. [" R1 c4 c" f: v过程不明显的我就省略了。
+ |# T& G) ~5 |3 w# V8 [8 f8 k5 S
在preview.php 中第7行

2 V5 W( q; N; l+ G7 m1 x* q$r = new_stripslashes($info);
  q3 }' [6 F4 N% L6 G- ^' O
我们跟踪new_stripslashes这个函数

9 P1 w$ Y  c4 m. {在global.func.php中可以找到

+ l3 e: _% {4 O- Y1
8 U. z2 w0 R* n% P: F  w  S2
3
4
5
/ y& r4 g: ~/ k6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
7 A4 N7 I6 k, J" @5 N( t* V, t* V    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}

4 q' c- {- m$ t% F( l这个函数的功能不用解释了吧
0 X: ]! m# n& m, m4 ~0 @, g
所以我们看具体应用点再哪？
8 b- r8 B/ i' X  ]# L
, M" U1 N* l8 P  F9 B& R1
/ p& j4 x, W5 t! Y/ V2
3
& b) j9 T& R/ ?) ~4
5
) f3 @1 o4 k) W1 J3 ?; F2 o6
9 l! g' e' ?# Z& q' y7 x( w: Y' {7
8
# L( H* y4 i; w# ]5 ]9
10
* r+ s, A5 f. i( D$ \11
* d) p7 d8 d8 _% Z* Y3 h! y12
13
14
15
16
17
18
  }6 {% x9 n& a- l  `6 M) [+ N19
9 N0 N" a& B7 M3 W5 d# |20
. M  r- G- i# h  Y2 h21
, J% }3 S, l( j+ ~2 w22
23
& E' g, y+ f# f' Y: g# }24
25
26
2 l7 |/ X% d) i6 Z, F$ t: y% n27
28
29
30
. O( k$ d( q2 x: f7 M; c31
32
33
2 Z( Y, R2 z, u' U34
35 require dirname(__FILE__).'/include/common.inc.php';
2 n' ~! c( J1 V. Y( e* `* Pif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
* K1 _# c8 X; G* w# W3 ?; B8 g$r = new_stripslashes($info);   //反转义了.....关键
6 A" Y$ |2 i2 X2 F* {# k$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
( N. w- W9 E# z# d- ?3 u. L8 K$data = $out->get($r);
extract($data);
$userid = $_username;
. G+ |3 z6 s+ s6 Q- Qfor($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
! L; D) }3 l2 J}
        
$array_images = $str_attachmentArray;
$images_number = 10;
: Q- r" L9 s5 @2 P0 \7 h7 r" ]* W$allow_priv = $allow_readpoint = 1;
5 m+ t! c8 s* \  B4 f$updatetime = date('Y-m-d H:i:s',TIME);
7 Q; k4 u! }1 l. e  N        
$page = max(intval($page), 1);
5 S8 @( |1 I: `: }$pages = $titles = '';
9 L; g0 |0 L, Zif(strpos($content, '