PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
' s0 A( R+ Q  T1 c4 d- a
   要转摘的兄弟们，你们还是带个版权吧！   

  Y6 i: w% j" s5 `! q9 H  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

7 D8 j( K! P; J' i, E: d" X" |     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。

8 ]3 w1 M* i5 c# N  w1 l3 e在preview.php 中第7行

$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

1
+ @5 X) F+ q. W1 _9 [2 b2 r. M2
3
3 p4 E% _. {+ E, ^8 h% Q$ B4
8 g1 y) A& o+ x7 d5
6 function new_stripslashes($string)
0 t% H" }' J4 _2 X{
4 u: o: w+ h% {- H+ h! e1 j    if(!is_array($string)) return stripslashes($string);
6 Z: B4 K' S. d2 g% ]2 o- ^1 C7 w    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}
) I9 G# C4 f6 b, {" _8 {0 E( I
; I7 V) @* Q$ O8 F2 f2 S  l% @这个函数的功能不用解释了吧

' |3 N& R% f- Z5 ^0 X# d所以我们看具体应用点再哪？
; n$ {4 }8 `2 x
, C) J# V/ c8 r6 x7 J# G1
2
$ X* I0 m) O& ^0 D& o8 e8 t3
' d5 }2 R! [# V2 P: i4
& W. G% H* H! B5
6
7
% @% m5 \0 ~  Q. v6 S0 x8
9
10
! |9 W: B$ \( ~( U11
12
6 m# s  \% c2 W5 L13
) Y/ ^: U9 n6 S5 g* r, C14
15
: U$ o  w+ Q* k' E+ d7 k; G16
17
18
3 `# K) E1 o& x9 c" `( i2 w19
20
" @+ L, c  z- i21
% N7 n$ Z& F5 L" Y22
0 V  k5 P! M) ]; L23
* X) ?9 D3 \% l6 A; H' h3 y. a& L2 X* X24
25
: h, Q+ r7 p5 ~: y7 R! Z$ j( _( u4 h% d26
27
9 l# ^( A- B. y: g28
  T+ e' n" X) }8 l29
30
31
32
/ l$ `1 D1 ~- F, n  ]' a9 F8 N33
$ W0 w$ S( L1 W2 s34
35 require dirname(__FILE__).'/include/common.inc.php';
  u1 P  p+ G9 k- I' _if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
: B) ^' e& V8 T$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
" h' n. X) x  W4 L$r['userid'] = $_userid;
$r['inputtime'] = TIME;
/ L& s+ s( F" A) W, Z/ r1 x! O$data = $out->get($r);
extract($data);
6 h9 z7 d' C) r# ~, j6 y2 p$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
1 V" {7 q" {/ O        
$array_images = $str_attachmentArray;
8 R# ^1 [* Y& {# z$images_number = 10;
$allow_priv = $allow_readpoint = 1;
* R' x/ k3 R- {- Z$ i$updatetime = date('Y-m-d H:i:s',TIME);
4 p$ q' p' N( j" M. r. B        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '