PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
( {! u- I& _1 N7 {% t/ T- B7 s1 i7 J
8 A1 q) G8 j5 Z8 W3 K6 \7 d     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。
+ O* i8 r6 E: O/ s' |8 o
在preview.php 中第7行

% j0 n# X$ F5 M  g" i5 R$r = new_stripslashes($info);
6 H/ L$ a6 M" u6 U  S' A
我们跟踪new_stripslashes这个函数

1 K0 Z7 {7 @* b. I1 f, B在global.func.php中可以找到

8 X# P  \+ R, Q1
2
7 R+ d5 B0 _) e: _" ^+ r3
0 w6 h" A% h4 t7 j" g4
" S4 m6 M: A$ _( G. s& d5
6 function new_stripslashes($string)
7 a# p3 i$ k& G; d2 v{
    if(!is_array($string)) return stripslashes($string);
0 `, c5 ?0 Q. J  x, G$ H    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
7 A- J3 D( n3 G4 _, c; P: i. \* \}

' \5 Y( N+ V7 o& d+ q! x这个函数的功能不用解释了吧
3 m7 L# n; T1 f: m' P3 C- @
: l9 p0 q( U0 u& k所以我们看具体应用点再哪？
; ?( d/ j; _$ v
1
2
3
/ d3 _- m% u( V! `3 V) R* Y9 H4
, t2 Q  \( Y) T  u* ]1 Y& A9 E9 _, x+ J5
5 T% m  t+ z; G- D/ _6
" V! {8 H" A/ a' V( u& A/ W0 ~# H7
# M; ]) {% c7 s8
9
' ?5 ]7 o4 B9 j. g  _3 B. n10
11
12
13
7 J# q% y3 y; R" p8 P& v14
! S" O" x; u) s# s15
  M4 O( B1 b2 _3 \8 J4 j" i16
. H5 f; a0 D5 |5 D8 z" `17
18
+ B7 _& N# q% t) e& b( C+ R19
) s. |  S/ C; C, b5 |! U$ A20
21
22
4 I9 B2 \  f4 ]- [0 O& y23
24
" ]* c7 k/ B: t25
26
# v8 E' S7 q( ?27
28
( v/ v7 h% u. L) R2 b29
30
31
32
& Q" \  W. x" ^/ c33
" Y  _# ]5 }5 e5 g3 G$ v34
) l6 o" F! C- E: C35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
- b/ z5 J/ {; ]; \require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
, \: b4 P  H0 @7 V& r$C = cache_read('category_'.$r['catid'].'.php');
% o) O# H" K) A( ]$out = new content_output();
2 R; R; O) b+ v( [$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
& u$ ?+ T$ ]& ]& t* L4 x$userid = $_username;
for($i=1;$i<10;$i++)
6 S( T! _" I7 B4 x% ~# r, r/ O{
! Q( l; x8 \2 l3 t5 p    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
+ p; G: `- B7 p9 _" a9 F# ^; x- A        
$array_images = $str_attachmentArray;
9 m4 M$ O: ?6 z2 {3 C2 ?2 {6 k$images_number = 10;
0 T( F$ _* b! ]& a, y7 E8 S$allow_priv = $allow_readpoint = 1;
3 v1 W' A$ I( U9 b- o! Y& h$updatetime = date('Y-m-d H:i:s',TIME);
/ k& Z7 h/ z8 b& T& s        
$page = max(intval($page), 1);
$pages = $titles = '';
/ Q* N* R) d, H* j7 W. |$ Tif(strpos($content, '