PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

( Z6 j9 M9 V/ [   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
: @* a* y! h7 @& u3 I
     
  N- B' z( I" c8 P! E1 H
其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
: [" V& q% d/ s
! Y8 a- }; U; A& \6 g过程不明显的我就省略了。

在preview.php 中第7行
+ u# }$ D0 @8 S% G& `" y
$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

! b7 p$ `8 A( E8 V9 B8 J2 K) q1
2
3
4
5
- ^" d7 E6 P2 D  U& v6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
0 L6 k8 _$ e7 ?% S- H9 L% v    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
0 x& M$ |+ w1 K, W" w" z' I  U}
& t7 |0 w# f# o0 c5 x; I/ E
这个函数的功能不用解释了吧
4 l, J/ D$ B0 u0 c% d1 J4 t" C
所以我们看具体应用点再哪？

1
2
3
/ {; p1 r% @+ p9 I8 z1 I! ^) \4
5
3 M* r' x& {" A' _0 U6
2 H8 \9 B$ O8 p0 k# \* {* r7
8
5 K0 Q1 d) \; w: P" z9
. w, \7 D( B$ e1 J+ v/ U' Z10
9 V: B  M6 L1 q11
12
13
% r- S9 z8 |' _( N  E/ r14
15
16
17
18
  n+ C, E) X0 ?1 z$ W' Y19
20
' \& S; }* M: q, C, i21
$ j+ w8 P$ d& M% H+ I22
23
24
; x& ?4 O5 Y8 `) Q5 ^0 ?25
26
7 F2 z& L2 r- Y$ O+ L' h27
/ H0 s% K* [5 x& H6 ~. ~28
29
" h; U4 U4 ^" g" x30
& ~- f+ n* c0 K4 C: R0 h1 |31
* t! Z7 s) M9 X  X: G32
4 `0 p# x# a- B5 G& q33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
1 v0 c+ a+ g3 x% x+ z2 I! Yif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
5 j4 C; U! L  ^" L5 U! B$r = new_stripslashes($info);   //反转义了.....关键
% Q& d( V/ C& {# E. `: w6 y1 s$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
/ K; n% {" B( w5 A$r['inputtime'] = TIME;
1 u. n. Z# C, n+ z4 Q) Q$ x$ ~$data = $out->get($r);
. n) X7 B9 t$ Q$ f! ?6 t7 u3 dextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
' O$ ~$ q% K; }4 t  J& ]1 _' @}
) G0 c2 p5 s6 m$ y        
0 ?; L, s' N$ c$array_images = $str_attachmentArray;
, |& T' ?9 Y! W" p5 b8 K$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
( K+ R) u' _; b5 ^* H        
$page = max(intval($page), 1);
8 p( T* j, _; V: `4 q$pages = $titles = '';
! d9 ]+ M2 G/ d! \. J0 G8 w; q" k# I* lif(strpos($content, '