PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
& f9 }; b/ @4 F3 x  m; h' _
   要转摘的兄弟们，你们还是带个版权吧！   
& u" v- j4 [- c& K6 w
6 e: m/ J# R3 i+ t  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
( S1 ^7 L3 R6 n
     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
1 r5 B! b& A0 w# M! }" \7 M* W4 f% [
% p0 ]. \9 W8 K7 i过程不明显的我就省略了。
: p5 F' V8 ^/ }0 D- P
在preview.php 中第7行

! H) G5 |  U6 p. [% \  ]" i$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数
: k: R9 W- s  c* P4 ?# p9 ~
在global.func.php中可以找到

1
" i6 z" H, P( S: b8 a5 N2
3
4
5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
* ^- @, O$ }3 E! R; H$ N9 o5 C    return $string;
! p6 S( B7 Y) N. K( e}
) F8 I1 ?% F6 T1 u& A* r) y
6 O9 u( |# t9 b" b% n) Y$ K这个函数的功能不用解释了吧

/ y0 K% d* o7 i) S5 Z1 P所以我们看具体应用点再哪？

1
9 T7 ~' A8 I2 q6 U! Z5 k" m2
3
4
3 n7 D1 O6 K# F& }- L5 o/ b5
! t; Q% Y6 G. N6
7
8
9
$ b. B6 ?% l4 ~; ]# K10
$ K, m$ K4 b  ^9 [& I11
12
13
7 A" c1 F1 ], U/ C/ r2 p14
  L  M- E5 Y* k" V8 v15
) m; \0 t( M' ]" P16
* p+ r6 Y1 B4 E# {- a0 }4 q17
18
19
* }6 j) N% i  z20
/ k$ n4 l6 X1 c  I0 c21
& a# G8 ]* ?. N! u. |22
( O: b: h9 a) `3 e3 [' Q. C3 y23
: Q- _8 _  }6 ~: Q9 t  d24
25
- p1 [2 t. @2 N  u6 W( Q26
5 }" d6 Y; S- F9 o$ h: O27
7 l8 U, x) B- T28
2 h$ X  d8 P) L: _$ c  s4 m0 T29
30
, E, G. V1 }+ \) A# k3 J8 B31
32
; e" d7 B: s) m5 Z8 K; V33
; h' B: q5 _) s/ ^8 g34
35 require dirname(__FILE__).'/include/common.inc.php';
! E3 e/ v: E0 `$ N7 lif(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
5 {  [- _: e& A* o, q% {! w: [if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$ C6 n1 X, `  ]) Z+ E$ S. x$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
- \4 n; N" U& A* ?2 Q2 x6 k" @extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
& w/ W- V1 _1 r( {+ o- \{
4 B0 E5 U9 l7 p6 `- u) ]    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
# _& T8 n" Z* O# b  f2 l}
        
3 |2 `9 {7 f( J* B7 V) \& R7 O$array_images = $str_attachmentArray;
( {  j0 [) R) h1 i  b: x( i$images_number = 10;
( q( r; F1 g; k% g1 }' l$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
+ j" e0 B8 L: O+ C, p5 j/ _$ U) d( M$pages = $titles = '';
if(strpos($content, '