### 简要描述：
PHPOK 输入过滤做的还是不错的，输入参数都做了 addslashes 转义； addslashes 在某些场景起不到安全防护作用，这里借PHPOK举个栗子。
### 详细说明：
getshell利用的是include方法过滤不严的缺陷，代码如下：
文件 framework/www/payment_control.php ：submit方法
```
function submit_f()
{
$rs = $this->auth_check();
...
$payment = $this->get('payment','int');
...
// 取数据库表 qinggan_payment 的数据
$payment_rs = $this->model('payment')->get_one($payment);
// $payment_rs['code']即上述表 qinggan_payment 的code字段数据
$file = $this->dir_root.'payment/'.$payment_rs['code'].'/submit.php';
if(!is_file($file))
{
error(P_Lang('支付接口异常，请检查'),$error_url,'error');
}
// 包含$file文件
include_once($file);
```
include参数$file参数是可控的，来自于数据库表qinggan_payment的code字段，我们继续跟这个字段是否可控。
文件 framework/admin/payment_control.php ： save方法
```
function save_f()
{
$gid = $this->get('gid','int');
// （$_GET或$_POST）外部传code值，会对敏感字符做addslashes
$code = $this->get('code');
$id = $this->get('id','int');
...
$data = array('title'=>$title,'code'=>$code,'gid'=>$gid);
...
// 数据存入db，上面的get方法传入的code值存入数据库表 qinggan_payment的code字段
$this->model('payment')->save($data,$id);
...
}
```
总结一下：get方法存入的code参数值存入DB，include方法从DB中取到code参数值；从而可以任意控制include的参数造成getshell。include文件名是 'payment/'.$payment_rs['code'].'/submit.php'，我们需要截断掉submit.php，因为数据库code的长度是100，分隔符的方法是不行了，可以用%00截断。
这里说明一下%00字符不受addslashes影响的原因。%00会被转义为\0，不过在存入DB又变成%00,这种二次使用的场景无视GPC。
### 漏洞证明：
一、利用CSRF开启支付功能，并设置code为根目录的LICENSE文件：
http://127.0.0.1/phpok/admin.php?c=payment&f=save&code=../LICENSE%00&gid=1&title=1&status=1
二、到首页的“产品展示”下个单，然后到 个人中心 => 订单中心 => 支付,选择上面CSRF添加的支付方式触发可getshell
[<img src="https://images.seebug.org/upload/201412/0300511314b8d4648dfb76a90e7588188577b21a.png" alt="phpok.PNG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/0300511314b8d4648dfb76a90e7588188577b21a.png)
京公网安备 11010502034610号
暂无评论