使用代码审计工具自动审计，找到select语句，双击进入/adminsoft/control/citylist.php文件
9c7992edbee9ecc3b4fc0356325cc35.png
7bbed5c5cb84d22461105c844760976.png
可以看到$sql = "select * from $db_table where parentid=$parentid";中没有使用单引号闭合，再往上`$parentid = $this->fun->accept('parentid', 'R');

    $parentid = empty($parentid) ? 1 : $parentid;`参数经过了accept函数，找到函数定义的位置

e87a2399f78ab486e663638c8334862.png
进入daddslashes函数
9d78bf4272eaa346ed5835c9a1adebe.png
找注入点，全局搜索调用类的位置，查找"new important"6d81f208d87afd29223aaac8c5a1a20.png
最终payload是"/adminsoft/index.php?archive=citylist&action=citylist&parentid=-1 union select 1,2,database(),4,5"