PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
. q2 x7 X  ~7 a! v* n: G
$ g' j' c; X8 s: G0 `! g& [1 d  C  组织 : http://www.safekeyer.com/   (欢迎访问）
/ C1 i% g. M5 G8 l  g+ F7 t
$ s, P( `& M/ `$ h- m* {' f+ n/ y0 jauthor: 西毒    blog: http://hi.baidu.com/sethc5
& t1 r, }" A  ]0 @1 v# j/ N
9 q; D" H4 _/ s9 D* ^% `     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。

在preview.php 中第7行

  W9 \5 ^% Y) L$ ~3 k$r = new_stripslashes($info);

+ i( a/ [+ P- j# Q% ^; F8 V我们跟踪new_stripslashes这个函数
, ^# y! x0 I* H$ F4 \% m; F
在global.func.php中可以找到
3 Z) m2 ]5 m! f* k; f1 Q
1
) }1 D6 N* S1 K2
3
4
5
& D, i8 n! E# c8 Q6 function new_stripslashes($string)
{
" B. I  B; k& ?3 h    if(!is_array($string)) return stripslashes($string);
/ s) k' Y# K* m: x4 m# b4 f6 Q    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
  ~9 m, M5 K. n* \$ W  a}
1 i( B7 X# |' y5 ~! |1 l6 _! C
这个函数的功能不用解释了吧

8 D7 q  Q6 i2 n% r. x1 `; x: ~* x所以我们看具体应用点再哪？

8 }2 U7 N2 o3 Y5 i5 ~2 p1
2
0 P4 z1 V, v0 {6 m9 }/ c8 S7 O3
, A2 ~# }2 I7 n4
5
6
7
+ z$ B0 O9 c1 p+ r) W" m, @8
. l0 f) G8 q6 G" v" \9
, M! d5 Z5 u+ e8 \% A4 `) O10
, a6 O0 q9 V  D# G7 _11
12
0 i$ H! _* _# s: y+ [4 Q13
$ z' U2 B, h1 P14
15
3 n* H' }& U5 @% y, e16
* z. C  h2 j% D/ F' k0 f17
& }- Y2 w% E; P8 v  A) C7 F18
19
, z/ T5 C/ R- i' H20
21
' g$ z+ u. J! b2 L22
$ J: h% x: t6 G5 r# _: }23
24
' v6 n/ c1 C* A5 a' a0 f$ {1 \25
$ @$ A0 o. H, l: E26
27
& u) d& F1 h$ [, ^: l+ r4 ]5 k28
29
, A2 {5 h4 ~2 p( h30
31
& y- y, M( D+ N6 K, b32
3 {1 W/ h* B& K, H- p33
34
  E2 t4 T! E! h0 w35 require dirname(__FILE__).'/include/common.inc.php';
, M" ~2 b6 s4 _+ ^0 l# Jif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
, m3 y% B/ d. Arequire_once CACHE_MODEL_PATH.'content_output.class.php';
" ?2 W! y* [1 a$ n/ Qrequire_once 'output.class.php';
; }% ?# G' F4 F' h/ tif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
/ D7 I, [$ [- ?5 U' H$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
2 [" O$ A/ C' r1 z) C* \4 A0 h$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
& y' I2 K% x: f( V: J/ J) v6 e* Textract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
; u5 c$ B+ A  }! ]{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
" `! \1 ]! G8 r1 c. k6 C$array_images = $str_attachmentArray;
+ e' i/ T7 _/ I! m' `: C6 a$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
9 ]; k) E# j+ r# A        
% ^) z& P' N$ z& }3 W  z$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '