PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
" @0 s' z) O" C; y
   要转摘的兄弟们，你们还是带个版权吧！   
) ^% z/ S$ Z6 K0 Q- e
* {  N8 J. m2 q4 h  组织 : http://www.safekeyer.com/   (欢迎访问）
0 Y3 x9 ~: j. p% m8 I
author: 西毒    blog: http://hi.baidu.com/sethc5

     
- F( E5 v+ |3 h' H  U* ?; C
其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
) D% p. B0 }" L+ A$ ~6 J
过程不明显的我就省略了。

在preview.php 中第7行

, X: Z7 T# |- h& e$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数
- E# Q$ R7 `# d# u( F0 N' p
* v2 i9 I$ N7 _在global.func.php中可以找到

) p- U$ N) _  [, L% e- z9 Q5 e1
2
3
4
( l) s- B' R& Z+ H5
6 function new_stripslashes($string)
{
( `+ L; ]8 J. E4 J: v    if(!is_array($string)) return stripslashes($string);
) q( Z  r+ K+ H/ O0 @" e7 b    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
# q" z" k: i( Z3 b5 h; f. D8 s( X& V1 I    return $string;
}
8 U& q+ }; M: i9 |1 m
+ S4 D$ u+ A6 r这个函数的功能不用解释了吧
' A  y/ K+ S: e! s
" Q! r8 B) r$ v, S所以我们看具体应用点再哪？
* \3 i- u- w# V- ^. C& l
1
2
- X+ v. m- b# `9 ^% s3
9 `9 t2 }) Y* G: U  H; K4
5
6
7
8
( S4 _' w$ z# |2 v9 y9
. T. f6 s$ V: C! a10
11
12
- {5 d/ }! Y- u( b( Q% i13
$ [7 M* y7 }% _' K  `14
( ]2 ]0 e3 i2 o/ [& u15
" B0 d4 u0 b6 `, W( B$ r- O% t, D16
17
18
19
8 c9 N7 a1 u; b) _20
21
7 P  E2 M8 ^% z; x: u/ i3 o6 q22
23
24
25
) M+ _; @  y- r26
' }' n3 X/ D5 ]  b' B5 B; C3 ^27
: c. u8 j& U3 Q' f! b0 ~& e' K28
. l7 d6 O" h( |# M1 M4 \+ s" O29
30
4 T2 h- w9 {% A# W9 W! D31
32
33
. w. S5 I' O7 j2 e0 C( p34
35 require dirname(__FILE__).'/include/common.inc.php';
: Z% H# n" e/ Mif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
. k5 ]- V- L3 u* @% W4 i$r = new_stripslashes($info);   //反转义了.....关键
8 O" @5 U( u% d2 h! g4 L4 n# X, G! p$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
. m8 ~  [1 j) @$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
1 Y+ _$ b. }% s/ q{
. Q5 g( Y9 ~4 L    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
; g( }1 A) [8 n- o$ y* B1 U6 |/ W}
5 a/ R) d+ ^; k        
/ h4 ]/ f! S% P) c; m5 T$array_images = $str_attachmentArray;
* @. _! H( B$ Z* L: Q- W4 B& I$images_number = 10;
$allow_priv = $allow_readpoint = 1;
1 M$ G5 M4 C, w; i! J  D& G" B$updatetime = date('Y-m-d H:i:s',TIME);
! o5 ?/ W# B# X; W- `8 w        
$page = max(intval($page), 1);
0 W# t! b$ v4 q3 e$pages = $titles = '';
if(strpos($content, '