PHPCMS 2008 最新漏洞(第二季)附EXP

admin

说好的第二季来了......
& b: n! a, t. D; c+ ~- u. q; V
3 D* y5 ?" _, A7 i6 S5 z/ v   要转摘的兄弟们，你们还是带个版权吧！   

  组织 : http://www.safekeyer.com/   (欢迎访问）

author: 西毒    blog: http://hi.baidu.com/sethc5
: R8 z8 G2 d4 g1 ^( D) C" {
     

其实还是有蛮多漏洞的，只是我一步步来吧！你们别催，该放的时候自然就会放了.

过程不明显的我就省略了。
  a7 g' {7 e" t4 O5 Z& S
3 g' @5 D( r* T  ?在preview.php 中第7行
( ]# P% Z/ {' r7 a7 n2 }
4 t7 o2 m7 ?% u0 ?. A. \) }; L$r = new_stripslashes($info);

我们跟踪new_stripslashes这个函数

在global.func.php中可以找到

1
2
( q4 C/ c" S' _1 O3
0 A& o7 @3 G+ R2 X% g4
5
6 function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
. U/ W$ e. M) O4 @3 }3 P    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
& f1 J, l) P, ~7 Z) R    return $string;
}

6 I# E  m. O) z2 H/ d; v这个函数的功能不用解释了吧

6 x! R0 d3 u$ D2 a- M3 m所以我们看具体应用点再哪？
) B$ O' f8 q+ `
1
2
3
, U% _/ J; T. A1 p8 L4
' \9 I) y# R2 g3 p5
6
- T5 w1 I1 h! \' l; N  _( q6 c) O7
9 f  \! Z$ {8 o* k, i" w8
: H* M) q2 V& C  O9
& U* Z4 y0 v3 P* {10
& T* a. v( Q# g3 Y! t! d11
12
$ y) l; Y3 r6 w4 l9 ^  W, u13
14
! P  ]4 \' j+ f' w9 T! j3 B4 {! b15
+ ^% q5 x2 x: H4 [5 q16
% S7 `+ H0 S% p17
18
! I4 t1 p, }, o- b19
20
21
# ]$ X5 c7 B5 p$ }" |# p22
$ O6 |) ~5 x8 k" f23
24
* \% M' O$ J' |25
26
8 ?+ H! I+ ^7 y4 `# b( c( j+ P27
3 y0 q+ Z) O+ H2 d28
# \# T' ?3 Y/ _- v8 B+ ^+ M29
30
+ ]4 z7 y% M! Z) }31
32
: O" [% u( C9 H/ i. ^33
34
35 require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
# |9 J9 O1 }* |+ M8 `if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
. I- k# P7 j: U$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
6 F% H8 ?% M( |4 J; x: I$r['userid'] = $_userid;
' r9 o) t( [+ L$r['inputtime'] = TIME;
$data = $out->get($r);
! b) l) M- p+ h* ~7 O  y1 _extract($data);
, x4 n- ~5 F3 a7 e1 e2 h$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
; B" f. m& S$ _7 k& [}
        
$array_images = $str_attachmentArray;
$images_number = 10;
! v3 q5 x" T" \9 s$allow_priv = $allow_readpoint = 1;
# ?, i8 Y& }7 h2 |2 t4 p6 F$updatetime = date('Y-m-d H:i:s',TIME);
        
" {% b9 K" d6 A! `1 W$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '