WooYun.org

<?php


/**


Explain:


    新版邮件系统使用的用户退出程序，完成的内容是将用户的session清除，如果存在，不存在则不清除


    直接退出


Author:	wbl


Date:	2008-07-07


**/


require_once	"config/config.php";


require_once	"config/dbconfig.php";


require_once	"include/dbfunc.php";





db_conn();





$email	= $_COOKIE['ANY_EMAIL']; //从客户端直接获取cookie信息，


$sid	= $_REQUEST['F_sid'];


//检查用户是否存在,如果不存在则直接退出


$sql = "SELECT maildir FROM user WHERE id = '$email'";//将客户端获取的cookie变量进行查询（这里没有gpc一说，因为他系统设置默认就是关的）


$rs  = db_query($sql);


if ( db_num_rows($rs) == 0 ) {


    userExit();


    exit;


}


$row = db_fetch($rs);


$maildir	= $row['maildir'];


$session_dir	= "$maildir/$SESSION_DIR";


$session_file	= "$session_dir/".$_REQUEST['F_sid'];


if ( file_exists("$session_file") ) {


    @unlink($session_file);


    unset($_COOKIE['ANY_EMAIL']);


    unset($_COOKIE['F_SID']);


}

$sid	= $_REQUEST['F_sid'];


//检查用户是否存在,如果不存在则直接退出


$sql = "SELECT maildir FROM user WHERE id = '$email'"; //这里一般选admin@+域名 都是存在的，例如admin@**.**.**.**,顾这里是可以通过验证的。


$rs  = db_query($sql);


if ( db_num_rows($rs) == 0 ) {


    userExit();


    exit;


}


$row = db_fetch($rs);


$maildir	= $row['maildir'];


$session_dir	= "$maildir/$SESSION_DIR"; //$SESSION_DIR在config.php定义为默认值为session ;   $maildir 为 /mail/**.**.**.**1/admin/Maildir ;  顾这里$session_dir为：/mail/**.**.**.**1/admin/Maildir/session


$session_file	= "$session_dir/".$_REQUEST['F_sid'];  //这里的$_REQUEST['F_sid']可控，导致$session_file整个可控。


if ( file_exists("$session_file") ) {  //验证是否存在，一存在直接删除。。。（顾可删除任意人邮件，以及邮件系统源码等等。）


    @unlink($session_file);


    unset($_COOKIE['ANY_EMAIL']);


    unset($_COOKIE['F_SID']);


}


userExit();


exit;