Discuz 5.x/6.x/7.x投票SQL注入复现

最新推荐文章于 2024-10-06 08:55:12 发布

KEY0NE

最新推荐文章于 2024-10-06 08:55:12 发布

阅读量145

点赞数

文章标签： php spark thinkphp mysql web

本文链接：https://blog.csdn.net/M110K/article/details/112486872

版权

问题代码：

Discuz_6.1.0F_SC_UTF8includeeditpost.inc.php 288行

$pollarray = '';
$pollarray['options'] = $polloption;
if($pollarray['options']) {
    if(count($pollarray['options']) > $maxpolloptions) {
        showmessage('post_poll_option_toomany');
    }
    foreach($pollarray['options'] as $key => $value) {//这里直接解析出来没处理$key
        if(!trim($value)) {
            $db->query("DELETE FROM {$tablepre}polloptions WHERE polloptionid='$key' AND tid='$tid'");//直接带入key值
            unset($pollarray['options'][$key]);
        }
    }

对用户提交的polloption数组直接解析出来带入SQL语句，因为默认只对数组值过滤，而不过滤键，所以会导致一个DELETE注入。