WooYun.org

function CS_Request($pi_strName)
{
  set_magic_quotes_runtime(0);           //明显要用addslashes
  $magic= get_magic_quotes_gpc();	
  if ( isset($_GET[$pi_strName]) ){
    $t_Val = $magic?trim($_GET[$pi_strName]):addslashes(trim($_GET[$pi_strName]));
  }else if ( isset($_POST[$pi_strName])){
    $t_Val = $magic?trim($_POST[$pi_strName]):addslashes(trim($_POST[$pi_strName]));
  }else{
    return '';
  }
  return uhtml($t_Val);
}

if(!empty($id)){ //id不能为空
                   $row=$db->getrow("select * from ".Getdbname('xiaoxi')." where CS_ID='".$id."'");
//上面这一句里id带上了引号，加上addslashes完全无法注射
//上面这一句的目的是 防止 非法数据起作用，先判断能否避免注射并且正常执行
                   if($row){//如果$row为真，即上一SQL成功执行并返回，则通过判定
                        $db->query("update ".Getdbname('xiaoxi')." set CS_DID=1 where CS_ID=".$id." and cs_usera='".$cscms_name."'");
//上面这一句里id没有带引号，如果前面无限制（第一句判定通过的话）应该可以盲注
//与以下语句无关，继续
                        if($row['CS_Userb']=='系统消息'){
                           $logo=piclink('logo','');
                           $link='#';
                        }else{
                           $us=$db->getrow("select * from ".Getdbname('user')." where CS_Name='".$row['CS_Userb']."'");
                           $logo=piclink('logo',$us['CS_Logo']);
                           $link=userlink('index',$us['CS_ID']);
                        }

if(empty($_COOKIE['CS_AdminID'])){
//COOKIE我们能控制
		die("<script>window.parent.location='".CS_WebPath.$CS_Admin."login.php'</script>");
	}elseif($_COOKIE['CS_Login']!=md5($_COOKIE['CS_AdminID'].$_COOKIE['CS_AdminUserName'].$_COOKIE['CS_AdminPassWord'].$_COOKIE['CS_Quanx'])){
//COOKIE我们能控制
		die("<script>window.parent.location='".CS_WebPath.$CS_Admin."login.php'</script>");
        }else{
                 global $db;
	         $rowa=$db->getrow("SELECT * FROM ".Getdbname('admin')." Where CS_ID='".$_COOKIE['CS_AdminID']."'");
//根据COOKIE里的admin id取数据
	         if($rowa){
                       if($rowa['CS_AdminName']!=$_COOKIE['CS_AdminUserName'] || md5($rowa['CS_AdminPass'])!=$_COOKIE['CS_AdminPassWord']){
//将取出的数据与COOKIE中数据比较，注意这里pass反向又用了md5，看来安全意识还是蛮高的，只是追求安全还用COOKIE这有点儿奇怪，到这里我们由注射拿到了CS_AdminName和CS_AdminPass，因此可以伪造COOKIE进后台了
//与以下代码无关
		         die("<script>window.parent.location='".CS_WebPath.$CS_Admin."login.php'</script>");
		       }
	         }else{
		         die("<script>window.parent.location='".CS_WebPath.$CS_Admin."login.php'</script>");
                 }
	}

<?php
$CS_AdminID=1;
$CS_AdminUserName='admin';
$CS_AdminPass='5f4dcc3b5aa765d61d8327deb882cf99';
$CS_Quanx='1,2_2,2_3,2_4,2_5,2_6,2_7,3_1,3_2,3_3,3_4,4_1,4_2,4_3,4_4,4_5,4_6,4_7,5_1,5_2,5_3,5_4,5_5,6_1,6_2,6_3,7_1,7_2,8_1,8_2,8_3,8_4';
$CS_AdminPassWord=md5($CS_AdminPass);
$CS_Login=md5($CS_AdminID.$CS_AdminUserName.$CS_AdminPassWord.$CS_Quanx);
echo 'CS_Quanx='.$CS_Quanx.'          ';
echo 'CS_AdminUserName='.$CS_AdminUserName.'          ';
echo 'CS_AdminPassWord='.$CS_AdminPassWord.'          ';
echo 'CS_Login='.$CS_Login.'          ';
?>