PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
) v# g) ~# m2 K* S9 C8 b7 |
4 @" b+ ~# b8 @" M; G& D) k' @   要转摘的兄弟们，你们还是带个版权吧！   
2 A4 i, Z3 x3 Z; \! r
  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
* S' q6 ^: h5 C$ V  g" ]
     
* ~  K; l# |) h# g* _
/ n0 J; T- e; s- i其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

2 ~3 d* |$ s" a# y过程不明显的我就省略了。

在preview.php 中第7行

% G/ M0 P, u8 g8 I' W3 v9 U5 }) }$r = new_stripslashes($info);

7 l/ {" I1 }6 f, ?0 _我们跟踪new_stripslashes这个函数
' @8 a5 x/ G: x$ e& r
在global.func.php中可以找到
# u/ ?  L9 V6 e( a$ [0 _0 H
1
2
5 S; a3 m% g/ k8 x: U5 W3
# F$ D3 b0 }& p6 O4
8 U% f( f2 Z" ^" ?) s" T# b5
, o3 ?  G* d' ]6 function new_stripslashes($string)
3 ], \9 E6 P% e+ N3 i+ R* b{
: m: d+ G1 n% Z: S) O: p2 V    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
2 D( O, ~% D* s& v}
! w$ X; ]8 n7 E" `
这个函数的功能不用解释了吧
; k7 b8 l; U9 y$ S
所以我们看具体应用点再哪？
8 A  I* X' a7 c$ E6 l
1
2
3
( J9 }) T/ T6 H# C4
5
$ M9 m! C3 t* I. ^6
" `: l" w+ N, g# Y$ J7
% H/ Y$ T' M7 v% g+ v5 _8
9
10
11
' K; k9 b; {0 r5 {3 s1 }' H12
13
14
15
16
17
18
2 Y& O! \7 B7 f3 ^& Y19
- l; w% N4 x6 ^- ]20
21
22
9 u+ f( I* i9 |! {( k23
% T' u4 \/ S0 F24
  W/ x3 @% H$ J$ x# V! W; S25
5 W6 q. O  `" k26
, e9 i4 N# o4 m) P  E/ C1 n27
28
2 O' [& g$ C+ {29
30
+ T7 I! l$ ^  p) W) [. I31
32
33
34
, d  A: G3 b: ]& I3 X5 V7 U35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
; u4 ]6 p+ d, ]3 ?2 Drequire_once CACHE_MODEL_PATH.'content_output.class.php';
6 D2 Z6 a- I, R+ w  {9 @' D: q6 vrequire_once 'output.class.php';
; z2 u: `  y9 n3 b) hif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
  S7 I- p( `' z9 i$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
) [  S' i; h' F/ X+ o{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
+ H. Y+ k- n1 T. K. f% w}
/ c6 Q9 D( Q4 g) h# Q9 B0 J5 u        
& C" y+ L- w- O5 Q8 J0 o- H$ f$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
* ^% `4 H% o5 o: s        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '