### 简要描述：
过滤不严。 不考虑GPC。
### 详细说明：
第一处在control/ajax/ajax_shop.php中
```
switch ($action) {
case "load_sale" :
$shop_id and $list = db_factory::query(' select price,title,service_id,pic from '.TABLEPRE.'witkey_service where shop_id = '.$shop_id.' and service_status=2 order by on_time desc limit 0,4');
break;
}
require keke_tpl_class::template ('ajax/ajax_shop');
```
在这里 $shop_id 未单引号。 且无过滤。
在control/ajax.php中
```
$views = array('prom','ajax','upload','indus','score','code','share','menu','message','file','task','shop');
in_array($view,$views) or $view ="ajax";
require 'ajax/ajax_'.$view.'.php';
```
这里 包含漏洞文件进来。
直接注入那。
第二处在payment\chinabank\notify.php中
```
$key = $chinabank_seller_id;
$v_oid = trim ( $_POST ['v_oid'] ); // 商户发送的v_oid定单编号
$v_pmode = trim ( $_POST ['v_pmode'] ); // 支付方式（字符串）
$v_pstatus = trim ( $_POST ['v_pstatus'] ); //支付状态 ：20 成功,30 失败
$v_pstring = trim ( $_POST ['v_pstring'] ); // 支付结果信息
$v_amount = trim ( $_POST ['v_amount'] ); // 订单实际支付金额
$v_moneytype = trim ( $_POST ['v_moneytype'] ); //订单实际支付币种
$remark1 = trim ( $_POST ['remark1'] ); //备注字段1
$remark2 = trim ( $_POST ['remark2'] ); //备注字段2
$v_md5str = trim ( $_POST ['v_md5str'] ); //拼凑后的MD5校验值
/* 重新计算md5的值 */
$text = "{$v_oid}{$v_pstatus}{$v_amount}{$v_moneytype}{$key}";
$md5string = strtoupper ( md5 ( $text ) );
//echo $md5string;
$total_fee = $_POST ['total_fee']; //获取总价格
chmod('log.txt',777);
KEKE_DEBUG and $fp = file_put_contents ( 'log.txt', var_export($_POST,1),FILE_APPEND);//信息录入
/* 判断返回信息，如果支付成功，并且支付结果可信，则做进一步的处理 */
if ($v_md5str == $md5string) {
list ( $_, $charge_type, $uid, $obj_id, $order_id, $model_id ) = explode ( '-', $v_oid, 6 );
if ($v_pstatus == "20" && $_ == 'charge') {
/* charge */
$fac_obj = new pay_return_fac_class ( $charge_type, $model_id, $uid, $obj_id, $order_id, $v_amount, 'chinabank' );
```
key为空的 不用考虑。 这里验证了一下md5是否相等。 简单通过。
第三处在control/user/user_message.php中
```
switch ($op) {
case 'mulit_del':
if($msg_id){
foreach ($msg_id as $v){
list($msg_id,$status) = explode(',', $v);
if($status==0 &&$msg_type == 'output'){
$res = db_factory::execute("update ".TABLEPRE."witkey_msg set msg_status=1 where msg_id in ($msg_id)");
}else if($msg_type == 'accept'&&$status == 0){
$res = db_factory::execute("update ".TABLEPRE."witkey_msg set msg_status=2 where msg_id in ($msg_id)");
}else{
msg_del($msg_id);
}
}
```
直接赋值 然后带入查询 无过滤。
### 漏洞证明：
第一处漏洞证明：
[<img src="https://images.seebug.org/upload/201404/27105744b55c8d71eb1aec07955b500f55e8f837.jpg" alt="k1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201404/27105744b55c8d71eb1aec07955b500f55e8f837.jpg)
第二处漏洞证明：
[<img src="https://images.seebug.org/upload/201404/271102582d9f457a6f373c21c1b2282e59a36c4b.jpg" alt="k2.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201404/271102582d9f457a6f373c21c1b2282e59a36c4b.jpg)
成功带入查询。
第三处漏洞证明：
[<img src="https://images.seebug.org/upload/201404/2711224052ef7c5e40f8b4d9dc27ceb29987fc55.jpg" alt="k3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201404/2711224052ef7c5e40f8b4d9dc27ceb29987fc55.jpg)
京公网安备 11010502034610号
暂无评论