WooYun.org

foreach($voteId AS $key=>$value)
	{
		$value=addslashes($value); //对比之前的是 加了一个来转义。
		$db->query("UPDATE {$pre}vote_element SET votenum=votenum+1 WHERE id='$value' ");
	}

$_POST=Add_S($_POST);
$_GET=Add_S($_GET);
$_COOKIE=Add_S($_COOKIE);
function Add_S($array){
	foreach($array as $key=>$value){
		@eregi("['\\\"]+",$key) && die('ERROR KEY!');
		if(!is_array($value)){			
			$value=str_replace("&#x","& # x",$value);	//过滤一些不安全字符
			$value=preg_replace("/eval/i","eva l",$value);	//过滤不安全函数
			!get_magic_quotes_gpc() && $value=addslashes($value);
			$array[$key]=$value;
		}else{
			$array[$key]=Add_S($array[$key]); 
		}
	}
	return $array;
}
if(!ini_get('register_globals')){
	@extract($_FILES,EXTR_SKIP);//这里是漏洞点。 
 //可以看到上面的判断条件是 判断register globals 是不是开启的。
 // 如果是关闭的 才会进入。 注意是关闭 不是开启哦。。
  // regitser globals这个不用多说 从php 4.2开始默认都是off的
 // 基本都是关闭的 曾经提交漏洞 因为需要register globals on 所以被未通过。
 //  当是off的时候 extract来把_FILES里的读取出来 用了EXTR_SKIP参数
 //  所以不能覆盖之前存在的变量 但是qibo是伪全局 所以我们可以找一个未初始化的
 //  _FILES extract出来后 还是一个数组 所以找一个把数组循环出来的
 //  因为_FILES数组里的key是我们不可控制的把, 但是一些value可以控制 例如name
}

if($job=='del'){
	foreach( $cidDB AS $key=>$value){
		$rs=$db->get_one("SELECT aid FROM {$pre}comment WHERE cid='$value'");//把value带入了查询。
		$erp=get_id_table($rs[aid]);
		$rsdb=$db->get_one("SELECT C.cid,C.uid AS commentuid,C.aid,A.uid,A.fid FROM {$pre}comment C LEFT JOIN {$pre}article$erp A ON C.aid=A.aid WHERE C.cid='$value'");
		if($rsdb[uid]==$lfjuid||$rsdb[commentuid]==$lfjuid||$web_admin||in_array($rsdb[fid],$fiddb)){
			$db->query("DELETE FROM {$pre}comment WHERE cid='$rsdb[cid]'");
		}
		$db->query("UPDATE {$pre}article$erp SET comments=comments-1 WHERE aid='$rsdb[aid]'");
	}