WooYun.org

if(isset($_REQUEST['action_c'])&&$_REQUEST['action_c'] == 'login')
{
	header("Content-type: text/html; charset=utf-8");
	$user_type = $_REQUEST['user_type'];
	$user = $_REQUEST['user'];
	$pass = $_REQUEST['pass'];
	$pass_dec = base64_decode($pass);
	$nodeid = $_REQUEST['nodeid'];        //nodeid参数输入部分，未做过滤
	if(!empty($nodeid) && !is_numeric($nodeid) && !is_numeric($user_type))
    //这部分逻辑搞笑了，当nodeid不为空且nodeid不为数字且user_type不为数字才返回参数错误。当user_type为数字型，而nodeid不为数字型的时候，这里逻辑为假，不提示参数错误并进入后续代码处理
	{
		backmsg("参数错误");
		exit;
	}
	if($user_type != 0)
	{
		$user_type = 1;
	}
	// 封锁IP检测
	$path = $_SERVER['DOCUMENT_ROOT']."/src/temp";
	$handle = @opendir($path);
	if($handle)
	{
		while(false !== ($file_name = @readdir($handle)))
		{
			$file = $path."/".$file_name;
			if(time() - @filemtime($file) > 300)  //300秒后清除IP黑名单文件
			{
				@unlink($file);
			}
		}
	}
	$time = 0;
	$file = $path."/".$_SERVER['REMOTE_ADDR'].$user_type;
	$handle = @fopen($file, "r");
	if($handle)
	{
		$time = @fread($handle, 10);
		if(($time !== false) && ($time > 4))
		{
			backmsg('同一IP登录登录失败次数超过5次，拒绝登录，请稍后再试');
			exit;
		}
		@fclose($handle);
	}
	$handle = @fopen($file, "w");
	if($handle)
	{
		++$time;
		@fwrite($handle, $time);
		@fclose($handle);
	}
    //上面的封锁逻辑，当用户登录失败5次后，封锁300秒
	//验证用户名密码
	$adlogin = new adtLogin($user_type);
	if(!$adlogin->checkAdtPsw($nodeid,$user,$pass_dec))  //验证帐号密码流程，需跟踪
	{
		backmsg(_E($adlogin->geterrno()));
		exit;
	}
	// 通过验证，删除临时文件
	@unlink($file);

class adtLogin  
{
	var $Gloadmin=1;//记录是否是全局管理员，0表示全局管理员，1表示节点管理员 存入session
	var $type;//记录用户选择管理员类型 0表示全局管理员，1表示节点管理员
	var $errno;
	var $nodeid;
	function adtLogin($type)
	{
		$this->type=trim($type);
	}
	public function checkAdtPsw($nodeid,$username,$pass)
	{
	/*@参数：$nodeid 数值 客户端提交数据，0表示用户选择全局数据库，其他值对应相应节点ID
		$this->nodeid=trim($nodeid);  //nodeid未过滤
		$username=filterStr(trim($username));
		$pass = @EncryptDes2(filterStr($pass));
		//$pass =md5($pass);
		$con=new SinforDbBase();		
		if($this->type==0)  //type=0也就是全局管理员的检查流程，这里没有问题，不用看
		{   
　　省略......
		}
		else  //type=1也就是节点管理员的检查流程
		{
			if($nodeid == null)
			{
				$this->errno=50;
				return false;
			}
			if(!$con->OpenDb($this->nodeid))  //变量nodeid进入OpenDb函数，需跟踪
			{
				$this->errno=50;
				return false;
			}
省略......

　　省略......
        function OpenDb($NodeId=GLOBAL_DB)  //需跟踪的OpenDb函数
        {
            $db_config["hostname"]  = $this->hostname.":".$this->port;
            $db_config["username"]  = $this->username;
            $db_config["password"]  = $this->pass;
            $db_config["charset"]   = "UTF8";
            $db_config["database"]  = _S("DatabaseConfig", "DataBase"); // 默认为全局数据库
            
            if( $NodeId != GLOBAL_DB )  //触发注入的前提，也就是nodeid不为0
            {
                //$dbObj  = new DBMantain();
                //$db_config["database"] = $dbObj->getdbname($NodeId);
                /* 取数据库名字 */
                if( ! $this->connect($db_config) )
                {
                    return false;
                }                
                $sql = "select DB_Name from dev_node where id =$NodeId";  //SQL注入点
                $row = $this -> row_query_one($sql);
                $this -> close_db();   
                if( ! $row )
                {
                    return false;
                }
                $db_config["database"] = $row["DB_Name"];   // 非全局数据库
            }