轉(zhuǎn)自：paper.tuisec.win/detail-dd8e7c44c672819.html?
poc：http://www.xxx.com/faq.php?action=grouppermission&gids[99]='&gids[100][0]=) and (select 1 from (select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a)%23
首先定義一個(gè)數(shù)組groupids，然后遍歷$gids（這也是個(gè)數(shù)組，就是$_GET[gids]）扇救，將數(shù)組中的所有值的第一位取出來放在groupids中茶鹃。為什么這個(gè)操作就造成了注入？
discuz在全局會(huì)對(duì)GET數(shù)組進(jìn)行addslashes轉(zhuǎn)義，也就是說會(huì)將'轉(zhuǎn)義成\'，所以，如果我們的傳入的參數(shù)是：gids[1]='的話健田，會(huì)被轉(zhuǎn)義成$gids[1]=\'，而這個(gè)賦值語句$groupids[] = $row[0]就相當(dāng)于取了字符串的第一個(gè)字符佛纫，也就是\妓局，把轉(zhuǎn)義符號(hào)取出來了。
再看后面呈宇，在將數(shù)據(jù)放入sql語句前好爬，他用implodeids處理了一遍。我們看到implodeids函數(shù)：
很簡(jiǎn)單一個(gè)函數(shù)甥啄，就是將剛才的$groupids數(shù)組用','分割開抵拘，組成一個(gè)類似于'1','2','3','4'的字符串返回。
但是我們的數(shù)組剛?cè)〕鰜硪粋€(gè)轉(zhuǎn)義符型豁，它會(huì)將這里一個(gè)正常的'轉(zhuǎn)義掉僵蛛，比如這樣：
'1','\','3','4'
有沒有看出有點(diǎn)不同，第4個(gè)單引號(hào)被轉(zhuǎn)義了迎变，也就是說第5個(gè)單引號(hào)和第3個(gè)單引號(hào)閉合充尉。這樣3這個(gè)位置就等于逃逸出了單引號(hào)，也就是產(chǎn)生的注入衣形。把報(bào)錯(cuò)語句放在3這個(gè)位置驼侠，就能報(bào)錯(cuò)。
