. 漏洞描述

. 漏洞触发条件

. 漏洞影响范围

. 漏洞代码分析

. 防御方法

. 攻防思考

http://www.wooyun.org/bugs/wooyun-2015-0104959

. 登录

. 进入show_BBSiframe

. 发布一个专题

. 进入show_BBSiframe

测试版本：V7.

...

if($type=='myatc'||$type=='all')

{

    $detail=explode(",",$rsdb[tids]);

    $show='';

    if($page<){

        $page=;

    }

    $rows=;

    $min=($page-)*$rows;

    if($keywords){//搜索时

        $SQL=" BINARY subject LIKE '%$keywords%' ";

    }elseif($ismy){

        $SQL=" authorid='$lfjuid' ";

    }else{

        $SQL=' 1 ';

    }

    if($fid>){

        $SQL.=" AND fid='$fid' ";

    }

    //$TB_pre未在全局变量中初始化带入查询导致注入

    $showpage=getpage("{$TB_pre}threads","WHERE $SQL","",$rows);

    //$TB_pre未在全局变量中初始化带入查询导致注入

    $query = $db->query("SELECT * FROM {$TB_pre}threads WHERE $SQL ORDER BY tid DESC LIMIT $min,$rows");

    if(ereg("^pwbbs",$webdb[passport_type])){

        while($rs = $db->fetch_array($query)){

            $add="&nbsp;";

            if(!in_array($rs[tid],$detail)){

                $add="<A HREF='special.php?job=show_BBSiframe&id=$id&type=list_atc&act=add&aid={$rs[tid]}' target='spiframe' onclick=closedo(this)>添加</A>";

            }

            $show.="<tr align='center' class='trA' onmouseover=\"this.className='trB'\" onmouseout=\"this.className='trA'\">

                <td width='5%'>{$rs[tid]}</td>

                <td width='84%' align='left'><a href='$webdb[passport_url]/read.php?tid=$rs[tid]' target=_blank>$rs[subject]</a></td>

                <td width='11%'>&nbsp;$add</td>

              </tr>";

        }

    }

...

...

//论坛贴子

elseif($job=="show_BBSiframe")

{

    //判断系统是否存在dzbbs或pwbbs系统变量，防御未初始化变量注入

    if(!ereg("^dzbbs",$webdb[passport_type])&&!ereg("^pwbbs",$webdb[passport_type])){

        showerr('你没有整合对应版本的论坛！');

    }

    $rsdb=$db->get_one("SELECT * FROM {$pre}special WHERE uid='$lfjuid' AND id='$id'");

    if(!$rsdb){

        showerr("资料不存在",);

    }

    ...

    if($type=='myatc'||$type=='all')

    {

        ...

        $showpage=getpage("{$TB_pre}threads","WHERE $SQL","",$rows);

        $query = $db->query("SELECT * FROM {$TB_pre}threads WHERE $SQL ORDER BY tid DESC LIMIT $min,$rows");

...