PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......

   要转摘的兄弟们，你们还是带个版权吧！   
6 p. W4 B% S' ^7 h6 [
  组织 : http://www.safekeyer.com/   (欢迎访问）
0 M& J, ^1 j9 r$ ?; ~4 C
, I' P1 y5 c- T: _author: 西毒    blog: http://hi.baidu.com/sethc5

     

2 h- t# N$ W- S: f" X) f其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。

在preview.php 中第7行

% r# V% w8 v& i1 w0 x' V* s& y5 Q$r = new_stripslashes($info);

' S7 N9 q$ h0 F: H% I1 S我们跟踪new_stripslashes这个函数
; L9 g$ Y$ z6 ^: t8 o
$ S. f, A7 C0 Z* D* }在global.func.php中可以找到
" ~8 R8 b* ~  N# ]7 l
9 x* q5 |) L( J! T! A# M; ^1
2
+ ~% W- a  m3 M7 J; t3
& o$ [% z. h/ x7 f4 y4
1 M( }4 y% t7 f5
; u/ _" P4 l$ n* n% _! f, t) l% s6 function new_stripslashes($string)
/ {5 E, g/ k$ |* ]* e{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
. H1 |* i0 b/ R- e3 Y    return $string;
}
0 e8 C' R3 W, `% }% F0 z( c
. p3 s3 N% J8 ~/ Z; n( p* u这个函数的功能不用解释了吧

所以我们看具体应用点再哪？
0 p. N8 o* g5 K2 ]$ A8 X7 `
1
2
3
. ?. k+ ^. `# t: D4
5
& n% }, K% T; n! h6
9 }, \: s: L* T  y/ ^% H: v" R- C7
6 o" ~/ n2 r7 F' D9 N! C8
9
  w, b' m% D- }: T# ]# O10
11
12
* I* @' H; N# ^; y0 f13
14
15
. F2 s( k+ o, R* m16
) p8 T8 v$ J" X$ l5 w# Z4 Q17
18
+ x" B- H/ i4 Z4 x8 l* V8 A19
20
21
22
23
3 U0 y3 W* L  ~24
: `7 X- B  o4 Z25
, Q0 @9 ^/ @6 V7 _26
27
28
29
- k0 c* c& P/ {$ w  t, p30
31
32
33
$ i& R  W- O6 ?/ n) u1 E% D34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
  Z/ v' f; ?  t. ]6 Q/ [require_once CACHE_MODEL_PATH.'content_output.class.php';
. c1 s) x# L: V7 R# @require_once 'output.class.php';
. q: b  F7 B! u. Q' hif(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
. W0 g( d6 _3 b4 }0 Z9 s; P0 V$r = new_stripslashes($info);   //反转义了.....关键
( f$ v& {0 v. c, S* I$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
! E3 L( J; V4 x$ X1 s$r['inputtime'] = TIME;
$data = $out->get($r);
# ?$ e2 ]) D' @9 aextract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
2 w& }' s  }! l1 S3 G$array_images = $str_attachmentArray;
$images_number = 10;
9 o! f$ U6 k% f1 q! ^$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
3 g3 `( F8 v- ]5 c$ ]6 \; T: k$page = max(intval($page), 1);
- b; \9 P2 e5 W# `$pages = $titles = '';
5 c8 i) `0 u8 Dif(strpos($content, '