### 简要描述： 这个小的cms刚问世，我就测了下。感觉还是不错。但是百密终有一疏。注入啊…… ### 详细说明： ``` /app/model/moduleModel.php 文件中 search函数是前台做搜索用的。具体看代码 public function search($arrays,$field="",$num="20"){ //var_dump($arrays); //var_dump($field); //die; if($arrays['project']){ $sql='select * from `'.DB_PREFIX.$arrays['project'].'` where title like "%'.$arrays['tags'].'%" or tags like "%'.$arrays['tags'].'%"'; //var_dump($sql); //die; return arraypage(D($this->d_name)->excsql($sql.' order by id desc'),$num); }else{ $arr=D($this->d_name)->field("project")->where("type=1&&search=1")->getall(); if(count($arr)>1)$union="union"; foreach($arr as $k => $v){ if($this->attrib($v['project'],'tags')){ $array[]='select '.$this->fieldhandle($field).'id,title,html,time from `'.DB_PREFIX.$v['project'].'` where title like "%'.$arrays['tags'].'%" or tags like "%'.$arrays['tags'].'%" and status=1'; }else{ $array[]='select '.$this->fieldhandle($field).'id,title,html,time from `'.DB_PREFIX.$v['project'].'` where title like...
### 简要描述： 这个小的cms刚问世，我就测了下。感觉还是不错。但是百密终有一疏。注入啊…… ### 详细说明： ``` /app/model/moduleModel.php 文件中 search函数是前台做搜索用的。具体看代码 public function search($arrays,$field="",$num="20"){ //var_dump($arrays); //var_dump($field); //die; if($arrays['project']){ $sql='select * from `'.DB_PREFIX.$arrays['project'].'` where title like "%'.$arrays['tags'].'%" or tags like "%'.$arrays['tags'].'%"'; //var_dump($sql); //die; return arraypage(D($this->d_name)->excsql($sql.' order by id desc'),$num); }else{ $arr=D($this->d_name)->field("project")->where("type=1&&search=1")->getall(); if(count($arr)>1)$union="union"; foreach($arr as $k => $v){ if($this->attrib($v['project'],'tags')){ $array[]='select '.$this->fieldhandle($field).'id,title,html,time from `'.DB_PREFIX.$v['project'].'` where title like "%'.$arrays['tags'].'%" or tags like "%'.$arrays['tags'].'%" and status=1'; }else{ $array[]='select '.$this->fieldhandle($field).'id,title,html,time from `'.DB_PREFIX.$v['project'].'` where title like "%'.$arrays['tags'].'%" and status=1'; } } return arraypage(D($this->d_name)->excsql("select * from (".implode(" union ",$array).") h order by time desc"),$num); } } 这段代码中最终调用了D($this->d_name)->excsql（）来执行sql语句。通过跟踪发现。 excsql这个函数位于/system/core/model.php中。函数如下： public function excsql($sql){ return $this->db->fetch($this->db->query($sql)); } 可以看到直接调用了数据库中的query查询。而此处的query位于/system/driver/db_mysqli.php中。函数如下： public function query($sql){ // 验证连接是否正确 if (!$this->is_links())return throwexce(sprintf('Supplied argument is not a valid MySQLI-Link resource.')); $this->query_id = mysqli_query($this->link_id,$sql); 可以看到最后一句直接调用了mysqli_query()执行了sql语句。 虽然此cms用了全局过滤的方法来防范sql注入。但是这个地方全局过滤是不起作用的。因为第一：整个查询没有用到单引号，而是用了双引号。即使此处用了单引号也还是不起作用。因为你们查询的时候是通过html模板传过来的。全局过滤没注意到这个地方。所以造成了注入。具体利用看漏洞证明。 ``` ### 漏洞证明： mysql的监控日志中得到的。可以看到语句确实被带入了可以执行。 [<img src="https://images.seebug.org/upload/201407/03114618c1f442b2a1a31fd94d459d7dc5f381b4.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/03114618c1f442b2a1a31fd94d459d7dc5f381b4.jpg) 通过构造可以爆出管理员密码等信息 [<img src="https://images.seebug.org/upload/201407/03114610d254d884dc5325328758c846442b204f.jpg" alt="6}XZTOT6OHG~TE58P(AJDYE.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/03114610d254d884dc5325328758c846442b204f.jpg)
