加入webmail/userapply.php?execadd=333&DomainID=111直接爆出物理地址 ...

api/uc.phpUC_KEY没有初始化导致注入<?phpdefine('UC_CLIENT_VERSION', '1.5.0' ; //note UCenter 版本标识de...

问题出在一个通用函数上，只要用到这个函数的都存在漏洞，爆管理账号密码的我就不写了，密码有salt意义不大。如果能绕过通用防注入，这套系就太多漏洞了。很多地方都是因为不能注释，闭合不了，而不能进行利用，虽然很多地方都能引入引号但是过滤了一些危险函数。总体来讲...