WooYun.org

appcms并没有使用全局的变量过滤，而是采用了单个变量使用时候，addslashes，所以一旦出现遗漏，就会出现注入。
评论的时候会将IP纪录进数据库。

ip可以伪造：
*/
public static function getip() {
$onlineip = '';
if (getenv('HTTP_CLIENT_IP') && strcasecmp(getenv('HTTP_CLIENT_IP'), 'unknown')) {
$onlineip = getenv('HTTP_CLIENT_IP');
} elseif (getenv('REMOTE_ADDR') && strcasecmp(getenv('REMOTE_ADDR'), 'unknown')) {
$onlineip = getenv('REMOTE_ADDR');
} elseif (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], 'unknown')) {
$onlineip = $_SERVER['REMOTE_ADDR'];
}
return $onlineip;
}
跟进single_insert 函数，可以看到fields数组的处理：

public function single_insert($table_name, $fields) {
        if (!is_array($fields) || count($fields) == 0) return array('sql' => '', 'error' => '插入失败，插入字段为空', 'sql_time' => 0, 'autoid' => 0);
        $sql_field = "";
        $sql_value = ""; 
        // 遍历字段和值
        foreach($fields as $key => $value) {
            $sql_field .= ",$key";
            $sql_value .= ",'$value'";
        } 
        $sql_field = substr($sql_field, 1);
        $sql_value = substr($sql_value, 1);
        $sql = "insert into $table_name ($sql_field) values ($sql_value)";
        echo $sql;//组合SQL
        $result = $this -> query_insert($sql);

需要gpc为off，进行注入。
测试poc 非exp： a' or mid(database(),1,6)='appcms' or ' 数据库正确的时候，会输出1,方便测试直接把执行的sql输出显示了。