WooYun.org

function respond_action() {


        include_once ROOT . '/lib/plugins/pay/' . front::$get['code'] . '.php'; //GET过滤了,但是可以包含/pay/文件夹下的文件,code=tenpay,包含/lib/plugins/pay/tenpay.php


        $payclassname = front::$get['code'];


        $payobj = new $payclassname(); 实例化tenpay类


        $uri = $_SERVER["REQUEST_URI"];


        $__uriget = strstr($uri, '?');


        $__uriget = str_replace('?', '', $__uriget);


        $__uriget = explode('&', $__uriget);


        $_GET = array(); //重置了GET


        foreach ($__uriget as $key => $val) {


            $tmp = explode('=', $val);


            $_GET[$tmp[0]] = $tmp[1]; //采用REQUEST_URI,可以正常引入GET不受过滤的影响。


            if(preg_match('/\'|select|union|"/i', $tmp1)){


            	exit('非法参数');


            }


        }


        $status = $payobj->respond(); //执行tenpay的respond方法,跟进0x01


......


    }

class tenpay {


   ......


    function respond() {


        require_once ("tenpay/PayResponseHandler.class.php");


        $resHandler = new PayResponseHandler();


        $sp_billno = $resHandler->getParameter("sp_billno"); //腾讯的函数,类似于$_GET['sp_billno']或者$_POST['sp_billno']


//上面谈到GET不受过滤影响，本地问价内包含POST，GET提交都可，但是注入的话必须提交POST，因为GET是URL码.


//sp_lillno=sp_billno=-1-1-../../../demo 包含根目录的demo.php


        preg_match_all("/-(.*)-(.*)-(.*)/isu",$sp_billno,$oidout);


        $paytype = $where['pay_code'] = $oidout[3][0];


        include_once ROOT.'/lib/plugins/pay/'.$paytype.'.php';//匹配上面正则就行，包含之，触发，但是实在找不到能截断的PHP文件了,所以鸡肋了。


        $pay = pay::getInstance()->getrows($where); //SQL注入，跟进0x02


    ......


}

function getrow($condition,$order='1 desc',$cols='*') {


        $this->condition($condition); //OMG跟进,又是这个函数


        return $this->rec_select_one($condition,'*',$order);


    }


 function condition(&$condition) {


        if (isset($condition) &&is_array($condition)) {


            $_condition=array();


            foreach ($condition as $key=>$value) {


                $value=str_replace("'","\'",$value);//这次是在这里,因为GPC的关系提交'会被转移成\'而程序员把'替换成了\'就变成了\\'成功引入引号。还是好好改改这个函数吧。


                $_condition[]="`$key`='$value'";


            }


            $condition=implode(' and ',$_condition);


        }


        ......


    }