第一处sql注入：

文件aj_js.php

注入参数ad_id

只是对输入进行了去两边空格 并且直接拼接到sql语句中 而且是数字型的 转义对注入无效 

第二处sql注入：

文件comment.php

注入参数:ip字段

跟进getip() 函数 在include/common.fun.php 文件中

没有过滤 可以伪造client-ip 字段

第三处sql注入：

文件guest_book.php

注入参数:ip字段

查看$online_ip

使用了getip()函数和上面一样