年度大戏，ysfaka后门放在这里，大家看看是不是后门

风铃

鉴于某人不知廉耻，被我点出程序存在后门后依然跳出来咬人
https://www.hostloc.com/thread-597377-1-1.html


现公布后门如下:
地址:
https://github.com/assimon/ysfaka/blob/9fdfbd0b0e36075969722bd68f6547ee0843b564/view/editor/php/upload_json.php#L24
代码:
        'file' => array('doc', 'docx', 'xls', 'xlsx', 'ppt', 'txt', 'zip', 'rar', 'php', 'bz2'),

我来解释一下这行代码什么意思，这个文件本来是某个编辑器里面的上传脚本，本来是没有漏洞的，
但是被修改成允许上传php文件，因此可以直接上传PHP木马到服务器

好了，你说不是后门，那你倒是解释一下你把别人的编辑器上传代码的白名单里面加一个php后缀是几个意思？

文件是你自己写的也就罢了，你能编一编说是写错了，写了几十个后缀多写了个php，现在好了，这是别人的代码，你为什么要修改成允许上传php文件，居心何在？你可以说不是你改的？有人信吗？

至于怎么上传木马，直接给这个文件所在url，post一个PHP木马就行了，返回地址就是

风铃

codeas 发表于 2019-10-18 23:18
你确定了这个php是我加的？我们赌个妈，老天再上，我主观恶意加这个php类型或者说我主观给云尚发卡程序留下 ...

这叫小漏洞？这个文件是kindeditor的官方文件，大家不信的去官方下载对比一下，
你在修改成允许上传php文件有什么开发计划？
增加后台上传php功能？
你不怕笑死人吗？


这还不叫后门？那你告诉我后门张什么样，让我这个做web安全几年了的开开眼？


------
楼下老哥提供地址了，大家自己对比
https://github.com/kindsoft/kindeditor/blob/6e2d34e740e76c597cc56f99706d5dc706ed6e6a/php/upload_json.php.txt#L24

codeas

你确定了这个php是我加的？我们赌个妈，老天再上，我主观恶意加这个php类型或者说我主观给云尚发卡程序留下后门，我死个妈。反之，你拿到我程序的一个验证小漏洞主观恶意猜测我故意留下后门你死个妈。赌不赌？

jq8778

你们啊,TOO YOUNG TOO SIMPLE,SOMETIMES NAIVE
你想想，人家都开源了，那还能怎么喷
就算是故意的，代码就在那，也算是人家给你说明过了啊
所以说，这种事关钱的东西，需要谨慎再谨慎，做到即使有后门，也做不了妖
比如，权限设置好了，有代码也传不上来嘛
执行权给对了，传上来也是个TEXT，执行不了嘛，我就限制原来的PHP能执行对吧
然后干掉PHP那一堆危险函数，什么SYSTEM，EVAL，POPEN，留一句话也不行，如果影响执行，需要逐行代码确认
最好再做个NGINX级别的URL过滤，防注入什么的
最好再把数据库和PHP做系统级分离，然后数据库端写个二次验证什么的，取危险数据的时候，需要走指定的接口二次验证，接口API修改，做到万无一失

wolfewong

https://github.com/kindsoft/kindeditor/blob/master/php/upload_json.php.txt
看了一下KindEditor PHP原版，ysfaka的确多了php，这个是两年前加的，两年来都没修改过，不知道ysfaka当时是怎么想的

hellowz

源代码没有这个漏洞，特意构造出这漏洞就有点意思了

Tracert

如果贴主所言非虚，这是典型的网页木马。请解释下php，怎么多出来的

kindlecon

怎么会允许传PHP呢
这很明显的后门啊。

三不

路过了解下

欢子

楼下有没有卖瓜子的来一包

myseil

我是来看戏的。。我不懂  但是我要装懂

子月

瓜子饮料有需要的吗？

逸笙

看完回复，已经掉到地板下了

pandati

前排混脸

citywar

卖瓜子花生矿泉水拉

skyindreams

遇高人岂可交臂而失之，看看孰对孰错。