PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
0 W2 f6 y' ~' O% U4 x
   要转摘的兄弟们，你们还是带个版权吧！   

" P6 U  V- h2 {  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5

     
- M) k4 O; I+ d4 M1 w: P
7 B/ }% f; |; x# R# C其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。
2 I0 \( v: W9 G* I
在preview.php 中第7行

/ x6 s7 D5 ]6 u& I; m# v$r = new_stripslashes($info);
7 A. u( ]+ A9 l3 C. ^
# h9 e* g! y0 O! A/ t我们跟踪new_stripslashes这个函数
4 k4 e5 L6 d! c$ u% ^
在global.func.php中可以找到

5 ]( U7 l; H. f" u1
1 l) b$ g( X- ?2
3
. f/ k  ~& D# p0 p+ x+ o! A4
5
6 function new_stripslashes($string)
{
& }% t. O8 Q. L4 }9 W2 A3 B# |    if(!is_array($string)) return stripslashes($string);
. v; p& e5 h7 n0 \6 k! g1 }' a! H* |    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
- O0 w9 W7 p. Z  i! R    return $string;
6 o% \/ d+ h) h5 W2 ?6 ?9 C) H, |}

这个函数的功能不用解释了吧
7 I% S2 N, l4 z3 O8 g$ Y8 O! w
  R* v) t$ z2 e( L3 D所以我们看具体应用点再哪？

9 P# H, p0 w0 W4 s0 ]; `4 w1
) d6 d; e& L! W  E) |* L+ B0 X0 N2
: Z4 @$ h; r' {3 _3 n! W1 K3 h) ~3
4
( L( Q9 }$ z1 s7 m6 V# A5
6
  y. Y, x+ w6 M# a9 n3 I+ u% Y7
8
9
10
# c5 v7 s. u1 v- S6 {% K5 M6 T9 W$ m11
/ N) A% E0 r. ]/ O9 L; |: o) E12
" z& X  Q5 [' J( m. [. d13
14
15
16
17
: }0 g# l5 |1 i0 e  ]3 H" M) C# D18
19
" V9 K5 L4 j# e8 q! W20
21
' u6 p1 R3 w! [5 y22
23
0 I6 U# B: {; n8 D24
25
26
* O! m) D' ]: Y* P: P2 U8 W27
- V" {" w4 H) O0 R7 o/ Q" p5 U28
29
) D" i) S$ M' x$ g' B3 A7 F7 W+ M30
$ C6 E% }. f1 I: a31
0 |% o+ b: U8 l" S32
33
# v' }+ p9 W/ A34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
1 D4 r$ }% O- E* r) w- d) N2 xrequire_once CACHE_MODEL_PATH.'content_output.class.php';
& A) a7 J( ?' B) Trequire_once 'output.class.php';
) P( [0 R0 _4 ^+ vif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
% D/ Q9 y( F2 u, F+ ^# A$C = cache_read('category_'.$r['catid'].'.php');
/ S$ f0 O+ Z% f* W& |! }$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
' F0 f8 a4 i7 k- i7 Rextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
+ w/ o2 D5 s1 e    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
- y4 O6 D) E! j* g) x        
$array_images = $str_attachmentArray;
4 z( l# o& E9 j) D/ Q$images_number = 10;
$allow_priv = $allow_readpoint = 1;
5 \+ L! e; U1 h+ N3 J( ^& n$updatetime = date('Y-m-d H:i:s',TIME);
, S: u8 J5 h5 Q4 ]: O9 n7 p        
+ b$ v+ [! n4 y, n; g$page = max(intval($page), 1);
$pages = $titles = '';
+ v* g+ z- u3 t5 N  j) v3 Jif(strpos($content, '