PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
* y" r! z" [! p
  组织 : http://www.safekeyer.com/   (欢迎访问）
% {- u: i& l# {$ ?# s3 @
author: 西毒    blog: http://hi.baidu.com/sethc5

, k8 S  h3 e2 ^: f; P  M' O     
3 \1 ~6 t9 P* _3 y
; h, a1 l3 U4 j# z! w* ~" ~1 ]2 o其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
, q* H5 j5 i, v( `7 `! j
过程不明显的我就省略了。

在preview.php 中第7行
5 x  ?- s/ t& w- a. O" a
$r = new_stripslashes($info);
' [* @" |" ^( a  Y/ Y4 y
6 {$ ]* Y/ i# O* }$ t我们跟踪new_stripslashes这个函数
! `& w8 i9 u. |0 |7 f
5 Y2 S/ F1 D% c8 w! @6 E在global.func.php中可以找到
6 \9 x$ W3 W; g% o
1
  i. Z2 x6 |4 h2 p- S) E4 Y2
3
4
) W4 P2 ~3 x- j1 u* Q, C5
6 function new_stripslashes($string)
{
; H( b4 c9 z0 h2 {2 ^    if(!is_array($string)) return stripslashes($string);
8 S2 |  e$ Q: t" W4 @3 r' ~1 F    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
( L9 k$ `* ~8 b' U) C}
# `% ?2 x' B* ]2 ^
- J; [, o& ~4 e! F. E* [4 B这个函数的功能不用解释了吧
& g) ^! p& L. Z; E/ }& }& h2 S% x
所以我们看具体应用点再哪？
, c% P# O- H6 n) ^% Z: A
1
2
3
4
5
5 e8 i  h# B+ P6
7
8
( u% p# h( Q5 o- X; x1 q9
) Z" t4 l# X0 ]& Y6 f5 w6 t- Q, X10
! k- E% Q& c( z5 p0 K7 m6 u11
8 a+ W: t! i: j) x0 h1 L& U, m( j12
13
14
! @" f3 R1 ~, Z8 X4 U  s5 H; k8 e15
16
1 D4 V; a! B2 Y17
18
19
, H7 A3 O: b) A: Z; c0 h20
21
! a0 V" Q- G0 u22
2 N! w& k0 z4 Y* K2 l& \23
24
25
) d5 z9 v; E/ j" b; e7 ]26
27
/ M9 w% v$ m5 R- `) a$ S" v' W28
) `4 W9 T( X4 B2 {* K! f29
30
0 S* E9 c+ J3 w* w6 u! L31
32
33
; x1 c' ^4 v+ L, s0 L: F34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
0 K6 i& {3 O4 T' {% _' h. _if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
! R  w0 X7 I3 {! K2 m3 j$r = new_stripslashes($info);   //反转义了.....关键
5 ^/ q0 x9 ~. @6 B0 M- g$C = cache_read('category_'.$r['catid'].'.php');
% M6 k, h) ?( u" _" u; H$out = new content_output();
- k% ~9 L, M: X- I" Y$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
; _$ D+ O, X6 mextract($data);
* e/ O: v. D! |; x4 _" D3 G/ ?; g1 R$userid = $_username;
for($i=1;$i<10;$i++)
{
, `: Z- T+ p6 }) t9 W    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
) n4 h6 D! C: T% d3 l3 x}
        
$array_images = $str_attachmentArray;
, c2 ~9 i8 P' H5 Z* ^; m# |( \% ^$images_number = 10;
$allow_priv = $allow_readpoint = 1;
- o; H' v$ A( e) c0 D$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '