Ihipop 学校的 Discuz X1.5 论坛被黑，在那里吵了一个下午。Google 一下“Discuz! X1-1.5 notify_credit.php Blind SQL injection exploit”，你就知道。
Discuz 是国内很流行的论坛系统，被黑的网站应该会很多吧。不过我对入侵别人的网站不感兴趣，同时也鄙视那些代码都不会写只会使用别人放出的工具攻击的所谓的“黑客”。
粗略看了一下代码，这个 SQL 注入漏洞是 urldecode 函数造成的。在 PHP 手册中，urldecode 函数下面有一个警告：
The superglobals $_GET and $_REQUEST are already decoded. Using urldecode() on an element in $_GET or $_REQUEST could have unexpected and dangerous results.
而 Discuz 的开发人员（估计是新手）画蛇添足，多加了一个 urldecode：
复制代码 代码如下:
foreach($_POST as $k => $v) {
$value = urldecode($v);
$this->setParameter($k, $value);
}
单引号被 urlencode 两次以后是 %2527，然后 POST，PHP 内部在生成全局变量 $_POST 的时候会先 urldecode，得到 %27，然后 PHP 会检查 Magic Quotes 的设置，但是无论是否开启 Magic Quotes，%27 都不会被 addslashes，因为这时根本没有单引号。但是这时如果你在 PHP 代码中画蛇添足的加上 urldecode，%27就变成单引号了，然后……你懂的。
在我初学 PHP 的时候，看的是学校图书馆的一本烂书，里面根本就没写 PHP 在处理表单的时候会自动 urldecode，所以自己用 urldecode 函数来解码（依稀记得书上好像也是这么写的，真是误人子弟啊）。
总结一下，就是：1、选择一本好书非常重要；2、慎用 urldecode 函数。3、注意 PHP 手册中的警告。
原文来自 http://demon.tw/programming/php-urldecode-sql-injection.html
Discuz 是国内很流行的论坛系统，被黑的网站应该会很多吧。不过我对入侵别人的网站不感兴趣，同时也鄙视那些代码都不会写只会使用别人放出的工具攻击的所谓的“黑客”。
粗略看了一下代码，这个 SQL 注入漏洞是 urldecode 函数造成的。在 PHP 手册中，urldecode 函数下面有一个警告：
The superglobals $_GET and $_REQUEST are already decoded. Using urldecode() on an element in $_GET or $_REQUEST could have unexpected and dangerous results.
而 Discuz 的开发人员（估计是新手）画蛇添足，多加了一个 urldecode：
复制代码 代码如下:
foreach($_POST as $k => $v) {
$value = urldecode($v);
$this->setParameter($k, $value);
}
单引号被 urlencode 两次以后是 %2527，然后 POST，PHP 内部在生成全局变量 $_POST 的时候会先 urldecode，得到 %27，然后 PHP 会检查 Magic Quotes 的设置，但是无论是否开启 Magic Quotes，%27 都不会被 addslashes，因为这时根本没有单引号。但是这时如果你在 PHP 代码中画蛇添足的加上 urldecode，%27就变成单引号了，然后……你懂的。
在我初学 PHP 的时候，看的是学校图书馆的一本烂书，里面根本就没写 PHP 在处理表单的时候会自动 urldecode，所以自己用 urldecode 函数来解码（依稀记得书上好像也是这么写的，真是误人子弟啊）。
总结一下，就是：1、选择一本好书非常重要；2、慎用 urldecode 函数。3、注意 PHP 手册中的警告。
原文来自 http://demon.tw/programming/php-urldecode-sql-injection.html
标签：
urldecode,SQL注入
免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！
如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com
桃源资源网 Design By www.nqtax.com
暂无“PHP 小心urldecode引发的SQL注入漏洞”评论...
稳了！魔兽国服回归的3条重磅消息！官宣时间再确认！
昨天有一位朋友在大神群里分享，自己亚服账号被封号之后居然弹出了国服的封号信息对话框。
这里面让他访问的是一个国服的战网网址，com.cn和后面的zh都非常明白地表明这就是国服战网。
而他在复制这个网址并且进行登录之后，确实是网易的网址，也就是我们熟悉的停服之后国服发布的暴雪游戏产品运营到期开放退款的说明。这是一件比较奇怪的事情，因为以前都没有出现这样的情况，现在突然提示跳转到国服战网的网址，是不是说明了简体中文客户端已经开始进行更新了呢？