PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
5 t3 v" ?* x! n, l5 X- r
  o8 G3 y$ P; b   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
  G2 h+ }1 W/ X2 n
     
; I5 W# [: `; K# W- a8 s) Q
其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

5 \2 J" s4 d9 N0 K* G过程不明显的我就省略了。

在preview.php 中第7行
% T2 k2 y4 n9 x- r4 q; m9 N
$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到
* h' E6 J, p/ S5 A- D
1
2
4 j2 Z( ]' J  i+ ?. S$ Q3
4
5
/ }( V9 a; Z  o: h* g6 function new_stripslashes($string)
; |$ p/ _: P5 L7 N! w4 D{
! \1 L) b& v3 ^3 n/ s    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
) R, |. u# _0 }% C5 a0 n    return $string;
5 u" F+ i, ]! X}
  t, d6 N* J6 f+ n7 D
这个函数的功能不用解释了吧
: V& Y1 F) Z3 A: N3 }
所以我们看具体应用点再哪？

- C4 T! s9 {$ C; K1
2
3
% u+ [% I4 s- o3 F4
$ p2 I' H7 B' t+ k5
  E5 x- K) _7 N8 _' I6
7
& M2 j# G7 n7 k0 R  L8
! N* {; w; a& Z4 g9
10
8 N  y: D; i( {) ~8 y11
! D: N5 ~4 q0 Z! g12
$ h% _  u1 {: ~& ~& f13
- T) r* T8 W1 P0 ~14
15
16
17
18
  V4 z: l. g) j# ~' ~( J19
20
21
) L4 y  D4 E5 ~- A, n5 }& k$ a2 s22
23
24
25
26
8 ~7 n1 J) }( N1 b  S1 j1 O8 `27
28
29
$ ]4 o3 S. g) s4 \/ q& ^% J30
31
32
33
34
7 u$ |$ n; n% s) V9 z! d( X35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
/ `: |3 y% s# {. B( G5 V+ Bif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
( d% x. X) P; ?2 E$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
8 k0 C4 g; m) n; t2 _# \$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
; a6 q4 E0 R1 mfor($i=1;$i<10;$i++)
{
3 Z; t9 k% x9 U: N$ D2 Z    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
" I, T8 f: B7 f4 x  Y) h$array_images = $str_attachmentArray;
$images_number = 10;
; n' a- T  f2 Z$allow_priv = $allow_readpoint = 1;
. G% f3 \6 S/ C9 z* ?& ~8 M$ p$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
; x+ A# B# p  X; A* M5 j$pages = $titles = '';
if(strpos($content, '