1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

<?php
//控制器基类
class Action {//声明Action类，属于所有控制器的父类
	protected $_tpl = null;//定义属性
	protected $_model = null;	
	protected function __construct() {//__construct() 构造函数，就是当对象被创建时，类中被自动调用的第一个函数，并且一个类中只能存在一个构造函数。但这里是protected，就不能在类的外部直接new这个类，只能在子类中通过继承使用。
		$this->_tpl = TPL::getInstance();//模板渲染
		$this->_model = Factory::setModel();//创建模型对象
		Tool::setRequest(); //表单转义和html过滤	可以防XSS、SQL
	}
	
	protected function page($_total,$_pagesize = PAGE_SIZE, $_model = null) {//定义了一个分页函数
		$this->_model = Validate::isNullString($_model) ? $this->_model : $_model;
		$_page = new Page($_total,$_pagesize);
		$this->_model->setLimit($_page->getLimit());
		$this->_tpl->assign('page',$_page->showpage());
		$this->_tpl->assign('num',($_page->getPage()-1)*$_pagesize);
	}
	//静态专用
	protected function page2($_total,$_pagesize = PAGE_SIZE, $_model = null,$_url2='',$_fx='') {//另一种分页
		$this->_model = $_model;
		$_page = new Page($_total,$_pagesize,$_url2,$_fx);
		$this->_model->setLimit($_page->getLimit());
		$this->_tpl->assign('page',$_page->listpage());
		$this->_tpl->assign('num',($_page->getPage()-1)*$_pagesize);
	}
	
	public function run() {//控制器运行入口
		$_m = isset($_GET['m']) ? $_GET['m'] : 'index';//url传参'?m=',默认为index
		method_exists($this, $_m) ? eval('$this->'.$_m.'();') : $this->index();//eval() 可以执行任意字符串形式的 PHP 代码，此处通过搜索发现 run()函数 出现在 config/run.inc.php 这个文件，存在rce
 	}
}
?>

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38

<?php
//图片控制器
class PicAction extends Action{
	public function __construct(){
		parent::__construct();
	}
    //这里并没有进行用户权限的判断，非管理员（未登录）用户也可访问到图片列表并删除
	public function index(){
		$_dirPath=opendir(dirname(dirname(__FILE__)).'/uploads//');//打开 /uploads/ 目录
		$_dirName='';//保存图片名
		$_picArr=array();
		while(!!$_dirName=readdir($_dirPath)){//遍历 uploads 下的文件，此处无过滤
			if($_dirName!='.' && $_dirName!='..'){
				$_picArr[] = $_dirName;
			}
		}
		krsort($_picArr);//逆序排列
		$this->_tpl->assign('picNum',count(scandir(dirname(dirname(__FILE__)).'/uploads//'))-2);//获取上传的文件数
		$this->_tpl->assign('picArr',$_picArr);//显示上传文件
		$this->_tpl->display('admin/public/picshow.tpl');
	}
	public function delall(){//删除图片，依旧没有验证用户
		if(isset($_POST['send'])){
			if(validate::isNullString($_POST['pid']))
                tool::layer_alert('没有选择任何图片!','?a=pic',7);//是否选择图片，若为空，layer_alert 弹窗提示7并跳回 '?a=pic'
			$_fileDir=ROOT_PATH.'/uploads/';//上传目录的跟路径
			foreach($_POST['pid'] as $_value){//遍历提交的图片名
				$_filePath=$_fileDir.$_value;//构造文件路径，这里的路径可以拼接，且 $_value 是可控的，造成漏洞
				if(!unlink($_filePath)){//unlink() 删除文件
					tool::layer_alert('图片删除失败,请设权限为777!','?a=pic',7);
				}else{
					header('Location:?a=pic');
				}
			}			
		}	
	}
}
?>

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

//	config/run.inc.php  
Factory::setAction()->run();

->setAction()

//	public/class/Factory.class.php
class Factory{
    ...
static public function setAction(){
		$_a=self::getA();//$_a 是get传参，可控变量
		if (in_array($_a, array('admin', 'nav', 'article','backup','html','link','pic','search','system','xml','online'))) {
			if (!isset($_SESSION['admin'])) {
				header('Location:'.'?a=login');
			}  
		}
		if (!file_exists(ROOT_PATH.'/controller/'.ucfirst($_a).'Action.class.php')) $_a = 'Login';//ucfirst(), 将字符串首字母转化为大写，file_exists() 函数检查文件是否存在，如果文件不存在就回退为 Login 控制器
		eval('self::$_obj = new '.ucfirst($_a).'Action();');
		return self::$_obj;
	}
    ...
}
	

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

public function delall(){//删除图片，依旧没有验证用户
		if(isset($_POST['send'])){
			if(validate::isNullString($_POST['pid']))
                tool::layer_alert('没有选择任何图片!','?a=pic',7);//是否选择图片，若为空，layer_alert 弹窗提示7并跳回 '?a=pic'
			$_fileDir=ROOT_PATH.'/uploads/';//上传目录的跟路径
			foreach($_POST['pid'] as $_value){//遍历提交的图片名
				$_filePath=$_fileDir.$_value;//构造文件路径，这里的路径可以拼接，且 $_value 是可控的，造成漏洞
				if(!unlink($_filePath)){//unlink() 删除文件
					tool::layer_alert('图片删除失败,请设权限为777!','?a=pic',7);
				}else{
					header('Location:?a=pic');
				}
			}
					
		}
		
	}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43

//删除单个文章
	public function delete(){
		if(isset($_GET['id'])){
			$this->_model->id=$_GET['id'];
			$_findOne=$this->_model->findOne();
			$html=$_findOne[0]->html;
			if($html==NULL){
				$html='0.html';
			}
			//先删除静态文件
			if(tool::delete_file($html)){
				if($this->_model->delete_article()){
					Tool::alertLocation(null, tool::getPrevPage());
				}else{
					tool::layer_alert('删除失败!','?a=article&m=index',7);
				}
			}
		}
	}
//删除多个文章
	public function delall(){
		if(isset($_POST['send'])){
			if(validate::isNullString($_POST['showid'])) tool::layer_alert('没有选择任何内容!','?a=article&m=index',7);
			//$this->_model->id=implode(',',$_POST['showid']);
			//echo $this->_model->id;
			foreach ($_POST['showid'] as $_value){
				$this->_model->id=$_value;
				$_findOne=$this->_model->findOne();
				$html=$_findOne[0]->html;
				if($html==NULL){
					$html='0.html';		
				}
				//先删除静态文件
				if(file_exists(ROOT_PATH.'/'.$html)){
				if(!unlink(ROOT_PATH.'/'.$html)){
					tool::layer_alert('静态文件删除失败,请设权限为777!','?a=article&m=index',5);
				}
				}
				$this->_model->delete_article();
				header('Location:'.tool::getPrevPage());
			}
		}
	}

1
2
3
4

foreach ($_POST['showid'] as $_value){
				$this->_model->id=$_value;//获取文章id
				$_findOne=$this->_model->findOne();//数据库查询
				$html=$_findOne[0]->html;//从数据库中获取 HTML

1
2
3

$this->_tpl->assign('admin', $_SESSION['admin']);
$html=$_SESSION['html_temp'];
$_SESSION['html_temp']=$_art[0]->html;

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

//处理上传图片
	public function upLoad() {
		if (isset($_POST['send'])) {
			$_logoupload = new LogoUpload('pic',$_POST['MAX_FILE_SIZE']);
			$_path = $_logoupload->getPath();
			$_img = new Image($_path);
			$_img->xhImg(960,0);
			$_img->out();
			//echo $_path;
			$_logoupload->alertOpenerClose('图片上传成功！','..'.$_path);
		} else {
			exit('警告：文件过大或者其他未知错误导致浏览器崩溃！');
		}
	}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

//构造方法，初始化
	public function __construct($_file,$_maxsize) {
		$this->error = $_FILES[$_file]['error'];
		$this->maxsize = $_maxsize / 1024;
		$this->type = $_FILES[$_file]['type'];
		$this->path = ROOT_PATH.'/'.UPLOGO;
		$this->name = $_FILES[$_file]['name'];
		$this->tmp = $_FILES[$_file]['tmp_name'];
		$this->checkError();
		$this->checkType();
		$this->checkPath();
		$this->moveUpload();
	}
	

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

//xheditor编辑器专用上传
	public function xhUp() {
		if (isset($_GET['type'])) {
			$_fileupload = new FileUpload('filedata',10);
			$_err=$_fileupload->checkError();
			$_path = $_fileupload->getPath();
			$_msg="'..$_path'";
			$_img = new Image($_path);
			$_img->xhImg(650,0);
			$_img->out();
			echo "{'err':'".$_err."','msg':".$_msg."}";
			exit();
		} else {
		Tool::alertBack('警告：由于非法操作导致上传失败！');
		}
	}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

public function update(){
        if(isset($_POST['send'])){
            if(validate::isNullString($_POST['username'])) Tool::t_back('用户名不能为空','?a=admin&m=update');
            if(validate::isNullString($_POST['password'])) Tool::t_back('密码不能为空!','?a=admin&m=update');
            if(!(validate::checkStrEquals($_POST['password'], $_POST['notpassword']))) Tool::t_back('两次密码不一致!','?a=admin&m=update');
            $this->_model->username=$_POST['username'];
            $this->_model->password=sha1($_POST['password']);
            $_edit=$this->_model->editAdmin();
            if($_edit){
                tool::layer_alert('密码修改成功!','?a=admin&m=update',6);
                }else{
                tool::layer_alert('密码未修改!','?a=admin&m=update',6);
            }
        }

            $this->_tpl->assign('admin', $_SESSION['admin']);
            $this->_tpl->display('admin/public/update.tpl');
    }

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

public function editAdmin(){
        $_sql="UPDATE
                    my_admin
                SET
                    username='$this->username',
                    password='$this->password'
                WHERE
                    id=1
                LIMIT 1";
        return parent::update($_sql);
    }

1
2
3

protected function update($_sql){
        return $this->execute($_sql)->rowCount();
    }

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

protected function execute($_sql){
        try{
            $_stmt=$this->_db->prepare($_sql);
            $_stmt->execute();
        }catch (PDOException $e){
            exit('SQL语句:'.$_sql.'<br />错误信息:'.$e->getMessage());
        }
        return $_stmt;
    }
}