找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2069|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |正序浏览 |阅读模式
说好的第二季来了......
2 Z8 A7 Q" w/ v+ W" w4 M  K1 z5 f9 Y  m" `% x
   要转摘的兄弟们,你们还是带个版权吧!      T; m# Z% o1 s5 f0 L
+ B) _& W& _# H
  组织 : http://www.safekeyer.com/   (欢迎访问)
" K: y1 P- @( T* e+ P) h" b; S+ ]# r
author: 西毒    blog: http://hi.baidu.com/sethc5
4 q8 Z0 U+ h0 `' f' Z9 q" W
! @4 X; Z. L5 Q7 V; Q5 H     9 e) k0 K3 n  ~. X1 a, n1 L

5 V( @2 p9 Q  u2 o' J其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了.
0 Q1 M5 [+ T9 A) r
# Q7 {% `. H5 \过程不明显的我就省略了。
+ @, R5 l" t4 n. }" R5 `8 j  u, @9 y! Z: s5 U
在preview.php 中第7行
* t; ?0 ]0 z. A$ R9 l* `( Y' N% y& F5 |
$r = new_stripslashes($info);; ?/ Y  Y/ H: y* M2 p0 \

& w6 G0 K; t. l" K  I我们跟踪new_stripslashes这个函数
& V0 z$ M) v; }4 Y; I( Z: j
3 d3 f: Y2 {/ f/ C+ W在global.func.php中可以找到
. A! s6 B& ?$ Z9 s
% {$ }! L! e2 E4 G! G3 r" P1
" |% j' u0 f, G2- n5 I0 Z1 U5 {. N2 t" Z5 e  ?
36 i: p6 J  Q% M9 J
4  v: X& f; P5 @
5
' D( q+ ^9 P) f, I* D3 A6 function new_stripslashes($string)
/ Y! i* n/ {6 ?$ u4 b$ x" x* }{
3 G0 a4 v" j* \: T6 j9 c: Z    if(!is_array($string)) return stripslashes($string);
  q" E1 X  ?) Y$ {    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);/ p: N% B% G& @8 h# @) x1 T: a2 T
    return $string;. U' y" g3 @# Q: |3 _
} " ~$ k+ ?, `; V% ~& d0 J+ V

: x" C8 s6 q( ~0 R这个函数的功能不用解释了吧
4 t. G5 W# @: F# ?+ v. o; [: |
& N. E0 C' e- B. m所以我们看具体应用点再哪?$ F' g* O- c0 E; T6 F# _

( X1 C% H+ h: K* \1$ O9 G  Y( k' a. S/ q2 F3 _
2
; {7 R/ s; {# X% ~2 L3
) }9 {- B- s7 K, N& M4 ~: Y% C4
# j; Q4 {2 [) Q5+ f8 G! b* X3 K+ ]3 D& n
67 l) e: T/ b0 X9 v! }
7
4 R# _  `; C. K4 d8/ u) I- V% C0 u3 ^% _4 F" \
9
  N) k# g* h7 q% G- i2 c10; R% W+ }* g8 @( J/ b' u
11
3 }* g2 z; R2 O/ B( ~! A12
* i! A! u2 T4 q; d" c* |3 d- r13
1 ?* U- U2 J2 F! ^; h7 S9 V14' u' ^% h/ [4 ^9 o$ N6 r8 ]
15- X# l5 j) i4 _; T8 ?  n0 j
16/ P0 O, N' Y3 R0 ^" D
17
, M5 m& F  H8 I18
7 m2 |: `  e9 g19
, g7 {: D& B0 v* d20
0 ~% ^4 e  I+ d0 {! P. H! |* R21
! x) f7 F; _6 W  g/ i  z5 `$ v22  y( |. O0 @  i/ e2 W) j$ [9 S1 L
235 L5 Y1 f* B4 W1 J0 i
24
9 v: F3 F* E8 U% F4 T6 q% }25
8 e: `' n/ }3 w26
) g1 n% f( U2 j  b: ]( ~27
' |2 ^3 f) @/ I" i6 W. @8 G! a28
$ R7 L+ p& ^) l29! v! I1 u: i& N$ J
30! z7 r0 Q& J$ S+ w; \8 f, D
319 L3 J. S; d$ J" s* O$ ]& V
32) K4 c; y; e& f( y, s6 N  N3 O
33
3 d" R& m7 L9 j0 Q' g0 o+ L34; c1 N5 E% a; n% U$ [
35 require dirname(__FILE__).'/include/common.inc.php';
! Q$ S, R! w- t0 r, g! Jif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.! X- O4 D1 X; K, ~% i1 p4 u
require_once CACHE_MODEL_PATH.'content_output.class.php';
" }; M) k, V) `. n, G# V  ^/ C1 [4 lrequire_once 'output.class.php';
" U" |6 g* L8 J4 @# dif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
+ Q( B1 m# `; U" q9 O( i6 f8 h: f$r = new_stripslashes($info);   //反转义了.....关键+ Z+ c& @, s/ C1 M& c* n
$C = cache_read('category_'.$r['catid'].'.php');8 I( G  L: x) ]) w3 z! e
$out = new content_output();2 ]: k& T/ c9 Q0 G0 c  u, t
$r['userid'] = $_userid;, d! @# B5 P. s$ ~3 G  {0 Y9 i
$r['inputtime'] = TIME;
, M( p7 ^/ ?% q6 f$data = $out->get($r);
$ S: k5 p$ q' R* K! D" t+ `extract($data);0 @$ R/ t- A* K  D6 H
$userid = $_username;& v8 o" @! G* C* t8 n9 K* @
for($i=1;$i<10;$i++)# W* {9 s+ z5 F7 F
{" H+ `( q6 U/ m/ j
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");, ?: i2 h, b; p4 U% M* h
}1 A7 o" f! F; d3 D
          V5 Y% ~1 _2 U$ T2 h
$array_images = $str_attachmentArray;
$ f3 K1 d: ^2 U$images_number = 10;
% Y; l" `- W+ Z% {$allow_priv = $allow_readpoint = 1;
! L( W/ f# U: T9 n4 i2 ~* Y1 O* h$updatetime = date('Y-m-d H:i:s',TIME);
7 I. D# F1 p$ y; z        
! m, \/ v  Z. Y$page = max(intval($page), 1);
# i$ k" l7 @8 b% N: h4 \$pages = $titles = '';
5 _: S6 K9 X, D( G/ h1 B! w8 uif(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表