WooYun.org

/app/model/moduleModel.php 文件中 search函数是前台做搜索用的。具体看代码
public function search($arrays,$field="",$num="20"){
	//	var_dump($arrays);
		//var_dump($field);
		//die;
		if($arrays['project']){
			$sql='select * from `'.DB_PREFIX.$arrays['project'].'` where title like "%'.$arrays['tags'].'%" or tags like "%'.$arrays['tags'].'%"';
			
		//	var_dump($sql);
			//die;
			return arraypage(D($this->d_name)->excsql($sql.' order by id desc'),$num);
		}else{
			$arr=D($this->d_name)->field("project")->where("type=1&&search=1")->getall();
			if(count($arr)>1)$union="union";
			foreach($arr as $k => $v){
				if($this->attrib($v['project'],'tags')){
					$array[]='select '.$this->fieldhandle($field).'id,title,html,time from `'.DB_PREFIX.$v['project'].'` where title like "%'.$arrays['tags'].'%" or tags like "%'.$arrays['tags'].'%" and status=1';
				}else{
					$array[]='select '.$this->fieldhandle($field).'id,title,html,time from `'.DB_PREFIX.$v['project'].'` where title like "%'.$arrays['tags'].'%" and status=1';
				}
			}
			return arraypage(D($this->d_name)->excsql("select  * from (".implode(" union ",$array).") h order by time desc"),$num);
		}
	}
这段代码中最终调用了D($this->d_name)->excsql（）来执行sql语句。通过跟踪发现。
excsql这个函数位于/system/core/model.php中。函数如下：
public function excsql($sql){
        return $this->db->fetch($this->db->query($sql)); 
	 }
可以看到直接调用了数据库中的query查询。而此处的query位于/system/driver/db_mysqli.php中。函数如下：
public function query($sql){
		// 验证连接是否正确
        if (!$this->is_links())return throwexce(sprintf('Supplied argument is not a valid MySQLI-Link resource.'));
		$this->query_id = mysqli_query($this->link_id,$sql);
可以看到最后一句直接调用了mysqli_query()执行了sql语句。
虽然此cms用了全局过滤的方法来防范sql注入。但是这个地方全局过滤是不起作用的。因为第一：整个查询没有用到单引号，而是用了双引号。即使此处用了单引号也还是不起作用。因为你们查询的时候是通过html模板传过来的。全局过滤没注意到这个地方。所以造成了注入。具体利用看漏洞证明。