PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
5 S; d$ q8 i$ P* V) x
   要转摘的兄弟们，你们还是带个版权吧！   
2 u0 ~/ {' J; ?) u: J; e
  组织 : http://www.safekeyer.com/   (欢迎访问）
/ E' p/ b  n4 w& ]; |$ S
author: 西毒    blog: http://hi.baidu.com/sethc5
, g: }2 g9 V9 V) g7 Y
     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.
! t& `5 `* B' F  T: _: p( U
! ^- F, v9 |& K2 ]7 Y% c% n. y- T- ]3 k过程不明显的我就省略了。

在preview.php 中第7行
9 u$ l; m6 `0 y/ @! h6 m
$r = new_stripslashes($info);

/ H  _# W" Q3 p( u我们跟踪new_stripslashes这个函数

! V. D, u1 Q! g在global.func.php中可以找到

# A; h$ O& N" L% ?, O  Z- X8 v  j1
2
3
4
5
- a7 @4 t2 }2 W/ k+ ^- w' T" H9 s6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}

这个函数的功能不用解释了吧

! I2 X" ?1 I% ^% w( I% I所以我们看具体应用点再哪？
8 [' X( B$ u% e6 e# t% k- X# ?: e
1
) A/ t" g1 h: i4 W+ j2
7 N8 y, z$ E3 ?" K3
8 C# _/ Y, C! e4
5
3 X" t$ a3 _( @6 F  x" }* x6
' M& U2 B6 Q& Z- b1 B" i. d3 S4 I7
) q3 v3 m9 C  n8 }9 `8 m5 I: b8
  [# {5 W: l+ v% f  s+ k9
10
0 f1 b( H. ^9 Z, @+ k; e1 y11
12
* A% }6 ?# b% S  ]  G0 f7 F" w13
14
15
2 L9 ]7 F: W' C+ |+ R16
17
6 p' O9 ], C8 r! C2 P18
! Q9 T' Q0 |. b. c( }19
& o6 T: [6 L" v. o  h20
0 }! v7 [  C" w9 G; C' |( Z# d21
22
23
) C( Z, P, Y6 b8 o7 {; m24
, O6 s( f+ ^! Z25
+ m% h$ r( j$ E0 D; V8 o+ l( W* b) }26
27
! G6 ~4 M0 q. B! G  @2 O28
- q" h* u5 [9 q, t+ [6 y29
30
! X1 K+ }  a! Q, R: Z31
8 j$ ?: m$ Q9 F- P) r32
+ }) ^0 b+ P0 S0 U5 l33
34
/ h2 z+ |4 r  z0 y" G' r  C$ L35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
7 Z+ J# D+ }  f5 rrequire_once CACHE_MODEL_PATH.'content_output.class.php';
" t4 R! l* C2 |- j0 wrequire_once 'output.class.php';
' ^5 u1 J- p0 [: `; N/ h( vif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
8 R  m, P- o' X  H' a' u! X$r['userid'] = $_userid;
5 s2 \' _- j4 N  c% k0 e9 [$r['inputtime'] = TIME;
$data = $out->get($r);
" ?- b7 ~8 @4 e7 ^; ^; U7 Iextract($data);
: S, ^9 n% D- U6 u( N4 H1 O* c$userid = $_username;
for($i=1;$i<10;$i++)
5 a6 {5 k; k6 k3 l& p{
" c) K( J7 }% |% w' E0 L; l" |9 }    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
$ Y5 d0 m. J8 u}
        
! j( N7 G, v  U& T$array_images = $str_attachmentArray;
" P( |  c6 e2 Y) T$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
/ q0 [0 s6 O( F5 |; D( [5 X: o( _        
% B# m) M* p0 {# B# E$page = max(intval($page), 1);
$pages = $titles = '';
1 r" a/ |' y3 O5 [' t" l: U; nif(strpos($content, '