PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
. E! u9 w& s0 R1 M1 Z8 b; t, T
     

3 F8 p  K& Z% q" U# t- j其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
5 b8 B. \' o- M: ], f+ h* `
/ e' ?; |+ D% P. x# X过程不明显的我就省略了。

在preview.php 中第7行
8 z9 J) b3 {; |* x8 @2 Z5 C7 @
$r = new_stripslashes($info);
6 D) P3 A" J0 z2 z2 E' C( Q. Z
* P+ X" D- l. X我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

1
/ u) f8 f: c! A+ z# P! ~- d; G: [2
' h$ ]0 w* c, `  g8 |: Y& U3
4
5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
9 K) U: z8 ^* Z, _, `0 S    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
$ H' l4 L, V, ^! G5 G! k5 M5 C    return $string;
) [( W# O  H/ H) Z; U& O9 V}

- E# A% D2 j! N' r/ `8 z这个函数的功能不用解释了吧

7 x  e4 O6 h+ m" s所以我们看具体应用点再哪？

1
, e0 v; f, _( B# D" L) H0 N" I2
3
4
5
* h5 s# x' P" [3 Q6
4 ?: b! I5 ^1 p7 q) P4 g0 I7
# L# \- n5 z3 U8
9
7 M* c5 w1 c. }10
$ @" A( `& O0 ~! O1 q% h" W11
/ ^2 x( S% s7 H5 [8 W% x) N* u, Y12
& A1 M& l- M+ P1 P- S4 X6 O( P/ [9 W13
14
* \( o+ V2 z/ N: y( x* V9 Z! u15
16
8 t+ a$ _) P/ T: w1 ~4 P17
8 F8 P5 ^; A% e1 P6 k# B4 ?18
19
20
6 Z+ M% i) s  ~* _5 B& a4 ~21
22
4 k! X/ Z5 g2 X4 X23
24
$ w9 j4 Y, G3 ?" u$ L$ h. I! D25
26
27
; e% y: M9 k2 H5 l# t1 [) o4 B28
29
30
31
, ]  R/ b% Z9 I0 G; b" u8 \32
33
34
- x  a4 L" W' C( p  V9 G2 g' i35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
6 K& ?0 d" L& o" Mif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$ w5 \" h. ~' R; ~6 ?* ?8 F0 Z$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
7 I% y: p; m1 \1 |        
) s9 Q" j  T7 q& p( ?& q$array_images = $str_attachmentArray;
' R9 ?8 h; t' K" Y; u) U9 J$images_number = 10;
" @, _& E1 x- V( j$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
9 a6 _# w) O8 N( A5 e        
$page = max(intval($page), 1);
& j4 S! T! ^! L. `( h) u$pages = $titles = '';
if(strpos($content, '