php injection обход логики ч.2

Discussion in 'Песочница' started by Exeval, 14 Jan 2016.

  1. Exeval

    Exeval New Member

    Joined:
    25 Aug 2015
    Messages:
    3
    Likes Received:
    2
    Reputations:
    1
    Нашёл уязвимость вида
    $str = '<?php
    class MyClass{
    public $a = "'. $_POST["A"] . '";
    public $b = "'. $_POST["B"] . '";
    }'
    $str сохраняется в .php , файл инклудится и вызывается new MyClass.

    Если отключён MQ, проблем никаких.
    Если включён, мысль только что-то подобное провернуть
    http://forum.antichat.ru/threads/352923/
    Но как назло, в классе это место совсем неисполняемое. Сломал уже всю голову.
    Что ни вставь, вызывает ошибку Parse error: syntax error, unexpected '"' .
     
  2. gambrealpersbull1985

    Joined:
    15 Jan 2016
    Messages:
    4
    Likes Received:
    1
    Reputations:
    0
    Да похоже никак. В этом месте только скалярные величины передаются.
     
    Exeval likes this.
  3. randman

    randman Members of Antichat

    Joined:
    15 May 2010
    Messages:
    1,366
    Likes Received:
    610
    Reputations:
    1,101
    Пожалуй с 100% уверенностью об этом вам сможет ответить Stefan Esser.
     
  4. gambrealpersbull1985

    Joined:
    15 Jan 2016
    Messages:
    4
    Likes Received:
    1
    Reputations:
    0
    Я извиняюсь, а можно контакт? В пользователях таких не нашёл.