WooYun.org

官网好像不提供下载了。测试版本为B2Bbuilder B2B网站管理系统 中文版本 http://down.chinaz.com/soft/24224.htm
b2bbuilder.php 28行
if(!empty($_GET['m']))
{
$_GET['s']=!empty($_GET['s'])?$_GET['s']:'index';
$s=str_replace('/','',$_GET['s']);
$m=$_GET['m'];
echo $m;
echo '222';
if(file_exists($config['webroot'].'/module/'.$m.'/'.$s.'.php'))
{
if(file_exists($config['webroot'].'/config/module_'.$m.'_config.php'))
{
@include($config['webroot'].'/config/module_'.$m.'_config.php');
$mcon='module_'.$m.'_config';
@$config = array_merge($config,$$mcon);
}
@include('module/'.$m.'/lang/'.$config['language'].'.php');
include('module/'.$m.'/'.$s.'.php');
}
elseif(file_exists($m.'.html'))
include($m.'.html');
最后这里，如果$m.html存在就include。典型的文件包含，需要截断利用。虽然需要一定条件，但是广大中小网站使用这种情况的都比较多。比如官方的demo网站
HTTP/1.1 200 OK
Date: Thu, 14 May 2015 07:55:15 GMT
Server: Apache/2.2.9 (APMServ) PHP/5.2.6
X-Powered-By: PHP/5.2.6
使用了apmserv套件，说明是windows服务器，php版本5.2.6
b2bbuilder有一个黑名单过滤。虽然这里用不到。还是看一下：
function inject_check($sql)
{
return preg_match("/(select|insert|delete|\.\.\/|\.\/|union|into|load_file|outfile|\'|%27|{|\()/i", $sql);// 进行过滤
}
这里过滤了../,因为这个文件刚好在根目录调用，所以不需要跳转目录。这种过滤也是存在问题的。比如..\就可以绕过。同样的。这处包含的前面几行也有一个过滤。
$s=str_replace('/','',$_GET['s']);
这里可以使用\来绕过。
上传图片或者包含日志之类。
http://192.168.199.138/b2bbuilder/index.php?m=uploadfile\userimg\size_small\test.jpeg%00