先做再付黑客联系方式黑客在线QQ接单

Bug find by cooldiyer @ 2006/11/12 17:15漏洞文件: ads/upload.php、uppic.php代码如下: require PHPCMS_ROOT."/class/upload.php";if(!$_userid) message("请您先登录或注册！" , PHPCMS_PATH."member/login.php");if($extid==1) {$upfile_type= "jpg|png|gif";} elseif ($extid==2) {$upfile_type= "swf";}if($action=='upload'){ $fileArr = array( 'file'=>$uploadfile, 'name'=>$uploadfile_name, 'size'=>$uploadfile_size, 'type'=>$uploadfile_type ); $showname= $fileArr['name']; $tmpext=strtolower(fileext($showname)); $tmpfilesize=$fileArr['size']; $savepath = 'ads/'.$upfile_dir.'/'.date('Ym'); $f->create(PHPCMS_ROOT."/".$savepath); $up = new upload($fileArr,'',$savepath,$upfile_type,1,$upfile_size); ...........很显然，upfile_type变量过滤不够严格，可以自定义上传类型,实践得知可以上传除*.php和*.php3的其它任意后缀的文件,因为PHPCMS_ROOT."/class/upload.php"这个文件经过Zend加密,所以无法直接分析。 $_userid是靠session获取的，所以注册个用户，登录后，开始利用漏洞,修改后的上传页面如下 上传

 

文件上传
选择：

现在可以上传asp文件了，用登录后的窗口打开这个文件(保存session)，上传的文件名后缀跟form表单里action属性的upfile_type变量是一样的,上传后返回页面源代码如下:  var ctl_hurl=window.opener.document.getElementById(""); var ctl_upbutten=window.opener.document.getElementById("upload"); ctl_hurl.value="ads/uploadfile/200612/200612

(责任编辑：网络)