PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
# Z8 s2 P1 x* V0 I" V4 l6 D
   要转摘的兄弟们，你们还是带个版权吧！   
  i' C0 a  L! m. w6 a
# o! H$ v) F. f+ g9 ?  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

6 i' v' u7 F" V0 N2 ?     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
: z1 x- L4 m8 d1 ~+ }8 l
/ {. e2 U) V% u  `+ S' v* P过程不明显的我就省略了。
* ^! m6 p2 I; i3 p8 r
在preview.php 中第7行
- t+ [0 F) z* D, J
1 P2 w; S" H# u$r = new_stripslashes($info);
, A% V6 C; E- B$ U* I) ^
我们跟踪new_stripslashes这个函数
2 a6 e2 P- a1 ]- E3 h2 W* d6 a
在global.func.php中可以找到
# E# T0 T( }4 D  b0 y8 k6 d+ N
1
2 T  ?# h/ m% L3 e$ s0 M: }2
3
* e8 l4 b' o" X6 L6 m- ^! U4
6 ?- s& M( z! f1 |, \2 O: T+ M5
+ M: n3 w2 c: F. S, ^1 z6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
9 t/ w! L) y, |- n& ^# \    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
, m8 Q( `1 H* H/ ?7 v5 e5 P- x) h    return $string;
}

这个函数的功能不用解释了吧

( }4 D$ n7 F) D所以我们看具体应用点再哪？
  t5 P0 g7 g4 o! R. Z
1
# H9 F# z+ o; L6 v; V! j0 L- R2
3
4
1 y3 t) E5 U$ E2 i/ v. x5
6
2 P* e: ^/ {* l3 e! O7
5 [* G+ l+ E4 E0 C" W2 k8
9
  W' E' g8 }  B6 l10
) T4 D; n7 }7 l: }11
12
13
14
15
16
17
18
, ^( R( `" r& m19
9 F3 _5 U3 k4 L, M20
0 ~9 y' T) n  I. t21
% n+ g. Y! A& d% Y22
9 G* z" z: ~- q* d4 e6 _23
24
/ n" e& V/ a" ~- T4 n# L7 O( t25
. O: N, g. X" |: ~" k% G26
27
6 b- P9 p. c" j& j28
29
30
31
32
7 g: g* g4 t5 |  |& N/ j$ V33
8 s9 N. c3 t( g9 g; A$ t34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
2 _# u8 I  J" Q+ {$ s+ T0 krequire_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
& S  c7 z3 a6 `8 L% e2 r8 ~( N$C = cache_read('category_'.$r['catid'].'.php');
7 {" F) g( e% h1 W4 v% Z$out = new content_output();
$r['userid'] = $_userid;
2 x- U  i' `! f0 ]: @- Z* X$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
. e8 C7 x" q/ Y4 U' E8 ~+ I8 _8 D$userid = $_username;
for($i=1;$i<10;$i++)
9 z  D& V- r1 F0 d2 s- m{
% H1 v3 j, S9 n( R2 c    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
# t% ~6 E. K: I$ B3 ?6 O) n$ ~        
: q1 A" Y) t' K# R$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
, X! r& H: h& L' t1 _        
$page = max(intval($page), 1);
$pages = $titles = '';
5 ?# j  p' M; ^  \3 X% H6 Tif(strpos($content, '