找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1942|回复: 0
打印 上一主题 下一主题

PHPCMS 2008 最新漏洞(第二季)附EXP

[复制链接]
跳转到指定楼层
楼主
发表于 2013-4-19 19:17:38 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
说好的第二季来了......7 P8 Y( J0 Z& R( ^1 a  L

% B( ~3 F) a4 R+ N+ q9 ?   要转摘的兄弟们,你们还是带个版权吧!    + v% m, f& y* [4 A
# X$ G9 t7 `2 S
  组织 : http://www.safekeyer.com/   (欢迎访问)
7 l- N1 i) h0 W
5 B6 P' i  T& `7 w9 N' X5 g0 A" Uauthor: 西毒    blog: http://hi.baidu.com/sethc5; i% N5 D! x+ B$ `5 ^4 i; h% J
* o. r3 o" X7 G, y: G, V
     ( ]8 B3 N3 \' |+ Z4 S- F

1 u8 F8 ~; t/ D$ ]# J其实还是有蛮多漏洞的,只是我一步步来吧!你们别催,该放的时候自然就会放了.
+ f* }. }2 C" j2 |1 Z
+ s" ]' e) g3 ]2 D3 s$ G2 {过程不明显的我就省略了。0 H0 B! C$ u0 J& i" c( E$ D

  Z: h. @4 L! {' T8 D) _在preview.php 中第7行- h  i, X3 `! ~& L
3 e' C6 C8 U( Y
$r = new_stripslashes($info);' F5 V) _$ R0 x
# p5 T8 K: E# A# {
我们跟踪new_stripslashes这个函数
0 O) m; @2 c# f- C
* f: J* ^% O8 u1 B在global.func.php中可以找到% k2 V% {- @6 c

+ U& V/ P5 Y* o  X1
1 C- }6 w/ i! p1 A# e! P/ @2( d4 L# Q5 p! y8 D9 v
3
; g; C- Z* M) b$ t+ V4
4 P' d8 `; }! @0 z9 a5
, o0 u7 }9 i: M, ]6 function new_stripslashes($string)0 I0 b5 a: l) z) q8 t' W
{
! U. _& k2 w0 z! I: [0 f    if(!is_array($string)) return stripslashes($string);
5 N; D; h2 R% W& x$ ?' w! q    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
0 j' O, r1 i+ b2 Y    return $string;
& ~; u0 G/ j1 ^' _, g. z}
# W9 Z/ g& r/ h: \8 k6 i1 K# V  c' a$ R0 {- o2 K
这个函数的功能不用解释了吧
' S. S. y& s, @% |
* {  ~+ @. P; z所以我们看具体应用点再哪?! A" j+ b" R& `" |. x* q

& C% r. Y2 }3 H5 n- o6 Q( Z2 O1, `4 ^8 G+ J# K0 c
2
( H/ P, x9 ]4 T& t8 x8 k: w2 u* n3% g" K6 H  H3 s/ X
4
1 p: Y% |' ?* M. W7 Y0 y2 ]8 @5
$ V5 {( R7 N1 x: k! l. J! c" v6& ?0 A- e+ q( y8 S. |4 y4 I3 p
71 |3 E( I4 H, p8 S1 b' R6 B
8
0 }3 ~3 I" s" h; P/ }% B+ X( z9
6 P" T' J# h* h+ T% [# {" m& F10
. _  D! W8 Z. F1 F9 h! ~+ }11
" S$ o, S% L2 G1 l' S4 W) I12* {6 s0 X& c# F
13
6 ], z( ]3 R% e% G. _8 ]/ G; t14; b  ?% h! Q, m8 L2 e
15
" [+ B. D5 {% W+ o& y/ F* g  Q16
  ~2 M, V: i. R4 v; {  S4 I5 {" z4 s/ n17. @% ~3 P% I. R4 ~1 C2 q" X. O
18. T' u0 q$ e& J( ?8 F1 K( d3 ^
198 O5 y  j! X. }: J
20
7 f  A$ V: c+ D0 y# v21
1 M; M$ N0 J7 x- S22
/ s" l6 ^8 t: V0 \% I4 m0 ?' a23
& ^1 M5 ]4 H, U( M- ]7 i8 [0 }24% d/ g+ J( T# P4 x/ _9 W
25
' o% L1 f1 m5 ~( w262 J2 w9 b( A4 u7 n# n
27
5 i! C6 B3 Z3 U# T0 g28
1 `1 G  {. F7 e: J3 Z* [$ {1 i; K29. h- n. N. s: W2 _& f& n
30
3 ?8 Y, W+ e) Z+ S, h3 X314 \7 G3 S! @" b& \5 K7 s2 U! ?4 ?
32
: T! Z: j9 P8 ^' p8 w; w331 H! a6 C, Z, l, ]5 V; W
342 s; D2 s# t9 o
35 require dirname(__FILE__).'/include/common.inc.php';
; Z9 K6 M2 S! v) O  W- g" p% f: uif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.$ w% I* |$ _; e9 y
require_once CACHE_MODEL_PATH.'content_output.class.php';
: z+ l; F% m7 J# E4 K7 Arequire_once 'output.class.php';
8 t  g% F. N# p7 L& Y9 \if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了6 G- G3 Q- ]* b0 l9 A+ r
$r = new_stripslashes($info);   //反转义了.....关键
! X+ k3 P( u6 H2 g5 }, F% ]$C = cache_read('category_'.$r['catid'].'.php');1 {& a( ^; Y: Q# r" s/ a6 \/ b
$out = new content_output();! s8 ^2 A  C4 G( @! W
$r['userid'] = $_userid;
) @  a2 ~0 I: A8 \( I* j$r['inputtime'] = TIME;% K- _  U5 k5 L% ^! y
$data = $out->get($r);0 K1 z/ t" X- [* C( M7 e
extract($data);
, H: _3 E0 {( b0 ?) ?: s$userid = $_username;/ c/ E6 V* F. @! g0 N' x
for($i=1;$i<10;$i++)
# H8 F1 e) f* Y{0 P- X( E- ?5 S
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");' T/ F( I  X4 ^: s
}' D5 d" b% u8 i- I$ x& r7 n* {
        
0 j3 X# q% L* l$ [$array_images = $str_attachmentArray;
+ C/ _$ {7 d' f* g+ r0 e$images_number = 10;0 V  V9 E8 |( N0 _4 K$ \
$allow_priv = $allow_readpoint = 1;
6 H4 c' }# U  |$ R! `$updatetime = date('Y-m-d H:i:s',TIME);5 N3 I: K. L* {6 U" q/ V. D. ?
        ( I3 r. _  {- [7 Y8 Y  w/ R5 ^
$page = max(intval($page), 1);
7 ^! A, q: K* n5 \$pages = $titles = '';' z$ ?7 S  q4 D! W& R  \$ d
if(strpos($content, '
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表