【漏洞】BoBlog - 博客程序任意变量覆盖

以下是引用片段：

// go.php
$q_url=$_SERVER["REQUEST_URI"];
@list($relativePath, $rawURL)=@explode('/go.php/', $q_url);
$rewritedURL=$rawURL; // 来自$_SERVER["REQUEST_URI"],可以任意提交的:)
...
$RewriteRules[]="/component\/([^\/]+)\/?/";
// 这个正则限制的不够细致,可以很轻易的绕过:)
...
$RedirectTo[]="page.php?pagealias=\\1";
$i=0;
foreach ($RewriteRules as $rule) {
        if (preg_match($rule, $rewritedURL)) {
                $tmp_rewritedURL=preg_replace($rule, '<'.$RedirectTo[$i].'<', $rewritedURL, 1);
                $tmp_rewritedURL=@explode('<', $tmp_rewritedURL);
                $rewritedURL=($tmp_rewritedURL[2]) ? false : $tmp_rewritedURL[1];
                break;
        }
        $i+=1;
}
if ($rewritedURL==$rawURL || !$rewritedURL) {
...
$parsedURL=parse_url ($rewritedURL);
// 这里的$parsedURL['query']就是要利用的变量了:)
parse_str($parsedURL['query']);
// 通过这个地方可以覆盖任意变量
include(basename($parsedURL['path']));
// 通过上面的覆盖,可以利用这里包含本地文件,不过用了basename()函数处理:(

global.php：

...
unregister_GLOBALS(); //When register_globals=On
...
function unregister_GLOBALS() { //When register_globals = 'on'
        if (!ini_get('register_globals')) { //Already off
                return;
        }
        // Variables that shouldn't be unset
        $noUnset = array('_GET', '_POST',  '_COOKIE',  '_REQUEST', '_SERVER',  '_ENV',  '_FILES');
        $input = array_merge($_GET,  $_POST,        $_COOKIE, $_SERVER, $_ENV,  $_FILES,        isset($_SESSION) && is_array($_SESSION) ? $_SESSION : array());
        foreach ($input as $k => $v) {
                if ($k=='GLOBALS') {
                        global $kgr;
                        $kgr=0;
                        kill_GLOBALS($input[$k]); //GLOBALS is recursive -,-
                }
                elseif (!in_array($k, $noUnset) && isset($GLOBALS[$k])) {
                        $GLOBALS[$k]=NULL;
                }
        }
}