第一次代码审计---消息果CMS

<?php
require_once ‘app.php‘;
$c = isset($_GET[‘act‘])?$_GET[‘act‘]:‘‘;       //c = act  未过滤
$t = isset($_POST[‘text‘])?$_POST[‘text‘]:‘‘;   //t == text 未过滤
$p = isset($_GET[‘p‘])?intval($_GET[‘p‘]):1;    //intval()这个函数是将参数转化为整型的，有这个函数过滤，这个参数一般就不能进行SQL注入了 后来我查了一下这个参数的绕过，但是比较繁琐会有%00截断，但是绕过无关SQL注入
$id = isset($_GET[‘id‘])?intval($_GET[‘id‘]):0;
$db = new DbHelpClass();
switch ($c) {
	 case "login":
		 $pass = $_POST[‘pass‘];                  //尝试伪造管理员登录?act=login&pass=md5(KEY.$pass)
	     if($config[‘pass‘] == md5(KEY.$pass)){       //$config这个值是可以从数据取得 应该是个固定值  此处应该管理员验证是将post获取的值与数据库取出的值比较，暂时没想到什么利用方法
			$_SESSION[KEY.‘admin‘] = 1; 
		    logmsg(1,‘登录成功‘);
		 }else{
		    logmsg(0,‘登录失败‘);
		 }
		 break;
下面是各种case情形：获取的act参数的值    /app/class/ajax.php?act=logout退出/login登录/vcode验证码/new最新留言/add留言加到数据库/locker隐藏评论/top置顶评论/del删除/mail回复留言

function get_config()  //要是没有config值，从数据库取出一个默认的config赋值
function hide()    //判断是否为管理员
function ckadm()   //不是管理员 返回未登录消息
function logmsg()     //服务器返回消息和状态码的函数
function view_ip()   //获取管理员邮箱+ip地址
function view_content()  //管理员登录审核留言
function get_ip()  //从请求头中获取ip地址
function get_captch()  //这个函数应该和验证码相关
function timeago()    //这个是留言计时的  
function arr_sql($tab, $run, $arr)   //往数据库的$tab表中插入或者更新消息 （特别关注可能存在的注入）
class DbHelpClass   //初始化的一个数据库连接操作
function total($sql,$params=array())//求总记录数目
function runsql($sql, $params = array())   //数据库中添加留言 PDO方式
function getdata($sql, $params = array())  //读取数据库留言   PDO方式

function get_config()  //要是没有config值，从数据库取出一个赋值
{
    $db = new DbHelpClass();
    if (empty($_SESSION[KEY . ‘config‘])) {
        $rs = $db->getdata("select * from `config` where id=1");
        $config = $rs[0];
        $_SESSION[KEY . ‘config‘] = $rs[0];
    } else {
        $config = $_SESSION[KEY . ‘config‘];
    }
    return $config;
}

case "new":     //?act=new&r=
        $list = $db->getdata("select * from `content` order by top desc,lastime desc limit 0,$id"); //乍一看可能存在limit注入，但是想到上面intval($_GET[‘id‘])的过滤，此处就无法利用了  

     case "add":   //?act=add&author=xss
         $arr[‘content‘] = strip_tags(trim($_POST[‘content‘]));   //strip_tags()剥离HTML标签
         $vcode = strtolower(trim($_POST[‘vcode‘]));		 
		 if($config[‘captch‘] == 1 and $vcode != $_SESSION[KEY . ‘captch‘] and ADMIN==0){
		   logmsg(0,‘验证码错误！‘);
		 }
		 $arr[‘author‘] = ADMIN?$config[‘author‘]:mb_substr(strip_tags(trim($_POST[‘author‘])),0,20,‘utf-8‘);
         if(empty($arr[‘author‘])){$arr[‘author‘] =‘匿名网友‘;}
         $arr[‘mail‘] = strip_tags(trim($_POST[‘mail‘]));  //strip_tags()函数剥除HTML标签  而且邮箱这个地方有长度限制
		 if(!empty($arr[‘mail‘]) && filter_var($arr[‘mail‘], FILTER_VALIDATE_EMAIL)==false){
		   logmsg(0,‘Email格式错误！‘);
		 }
         $arr[‘ip‘] = get_ip(); //ip是从请求头部分获取的
		 $arr[‘lock‘] = ADMIN?0:$config[‘lock‘];   //ip在前端没有找到回显的地方
		 $arr[‘parent‘] = $id;
		 $arr[‘aid‘] = ADMIN;
		 $sql = arr_sql(‘content‘,‘insert‘,$arr);  //content表中插入内容
		 setcookie(‘pname‘,$arr[‘author‘],time()+3600*24*30,‘/‘);
	     setcookie(‘pmail‘,$arr[‘mail‘],time()+3600*24*30,‘/‘);
		 $b =  $db->runsql($sql,$arr);
		 $_SESSION[KEY.‘add‘] = $arr;
		 //$_SESSION[KEY.‘mail‘] = $arr[‘mail‘];
		 if($arr[‘parent‘]>0){$db->runsql("update `content` set lastime=:lastime where id=:id",array(‘lastime‘=>date(‘Y-m-d H:i:s‘),‘id‘=>$id));}  //$id经过了intval()过滤  绝了
		 logmsg($b,$arr);
		 break;