PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
# d/ C& v# I0 X
# {" E2 p* s0 p, `: a  组织 : http://www.safekeyer.com/   (欢迎访问）
/ v( s. d) F8 O; Y; |) u4 [
author: 西毒    blog: http://hi.baidu.com/sethc5
' s1 M! f) G* R! C; g4 e0 x$ P
2 j0 I( S: L, Y2 w3 v     

2 d" d: C7 ^; d: p# M, f- B9 I/ e; G其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

2 L4 Y# H  D) E, G# e过程不明显的我就省略了。
6 S  c/ i6 x0 y1 c
在preview.php 中第7行
, e. ~3 |( s& c: G
$r = new_stripslashes($info);
) w" i- ^8 f, g# J, \$ p" g* B
我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

. B; r$ b" U& x# ?4 w& c1
( c5 ~- l; u$ ^, C2
3
4
5
* f3 ?0 H1 ?6 g& K) v7 f9 ^/ I6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
9 j7 \/ K8 R" V3 ?7 w* z; F! j9 v5 y    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}
& F4 m) m) {, r* e9 Q3 ~# G. J
这个函数的功能不用解释了吧

所以我们看具体应用点再哪？
" R7 |. }; B+ A) y
1
2
3 Y* ?1 T$ }0 a9 B0 _5 O( L% \3
4
5
8 z- Z( f8 M6 M$ `/ J6
" o: b' A, c9 F& ?9 A3 K7
8
5 ?9 w/ z0 X, @" u9
10
11
; X2 D" |1 |1 u( ?' O$ a8 F6 d12
' S% @: o9 H/ p$ E6 g13
9 Z1 I( Y% I5 `% y& `1 k$ A14
& j* I6 N4 }/ ?4 r: v) d15
& v6 _4 T5 i' G% ^" J( l16
* ~' `! P' s3 I0 C17
2 F4 D; Z# l# P7 n4 K( `18
0 P0 O) H' k4 Q7 L/ A9 Q19
20
) V) K. b" w. u, d5 P& o' c3 b21
" d% @! [8 V$ g7 N6 J22
23
, R) O* G0 N7 J3 Y% }) h& ^24
25
26
27
28
29
: e1 K0 r$ }- Q% R30
) ]/ O! G. C, k5 L+ n& |31
" k# C2 A2 V* c! j32
33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
. P/ @: X# _5 Z+ v" g3 E, ~! }- V$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
& [, @+ U) ]/ R2 p+ H2 v$r['inputtime'] = TIME;
6 `6 ]4 @$ v$ Y( ~$data = $out->get($r);
, k% f4 x, F- T; Bextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
: j9 X" J% \6 \9 p  f{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
/ A$ v1 g+ N8 I$ G$ h# q}
        
; K2 n1 A' G. [/ p$array_images = $str_attachmentArray;
$images_number = 10;
6 N4 s. L+ z: @$allow_priv = $allow_readpoint = 1;
& j3 ~% I  x5 X5 n3 c$updatetime = date('Y-m-d H:i:s',TIME);
        
; c. X& `: @' o0 q6 G7 H$page = max(intval($page), 1);
: W2 a+ v* ~& J. Q, w$pages = $titles = '';
if(strpos($content, '