这个漏洞的代码结构并不算特别复杂，但利用手法却颇具技巧。首先，我们分析 go.php 中的关键逻辑：
// go.php
$q_url=$_SERVER["REQUEST_URI"];
@list($relativePath, $rawURL)=@explode('/go.php/', $q_url);
$rewritedURL=$rawURL; // 来自$_SERVER["REQUEST_URI"],可以任意提交的:)
...
$RewriteRules[]="/component/([^/]+)/?/";
// 这个正则限制的不够细致,可以很轻易的绕过:)
...
$RedirectTo[]="page.php?pagealias=\1";
$i=0;
foreach ($RewriteRules as $rule) {
if (preg_match($rule, $rewritedURL)) {
$tmp_rewritedURL=preg_replace($rule, '<'.$RedirectTo[$i].'<', $rewritedURL, 1);
$tmp_rewritedURL=@explode('<', $tmp_rewritedURL);
$rewritedURL=($tmp_rewritedURL[2]) ? false : $tmp_rewritedURL[1];
break;
}
$i+=1;
}
if ($rewritedURL==$rawURL || !$rewritedURL) {
...
$parsedURL=parse_url ($rewritedURL);
// 这里的$parsedURL['query']就是要利用的变量了:)
parse_str($parsedURL['query']);
// 通过这个地方可以覆盖任意变量
include(basename($parsedURL['path']));
// 通过上面的覆盖,可以利用这里包含本地文件,不过用了basename()函数处理:(
这段代码的缺陷非常典型：$rewritedURL 直接来自用户可控制的 $_SERVER['REQUEST_URI']，后续的正则匹配绕过也相对容易。核心问题在于 parse_str($parsedURL['query']) 这一行——它能够覆盖任意的全局变量，而紧接着的 include(basename($parsedURL['path'])) 则提供了文件包含的入口。
然而，basename() 函数对路径进行了严格限制，直接包含本地文件时只能获取文件名。通常的解决思路是使用 data:// 伪协议来执行命令，但这种方法需要满足一个前提：PHP 版本必须大于 5.2.0，并且 allow_url_include 必须设置为 On。如果服务器环境不满足这些条件，此路不通。
别担心，还有更巧妙的利用方式。让我们看看 global.php 中的实现：
...
unregister_GLOBALS(); //When register_globals=On
...
function unregister_GLOBALS() { //When register_globals = 'on'
if (!ini_get('register_globals')) { //Already off
return;
}
// Variables that shouldn't be unset
$noUnset = array('_GET', '_POST', '_COOKIE', '_REQUEST', '_SERVER', '_ENV', '_FILES');
$input = array_merge($_GET, $_POST, $_COOKIE, $_SERVER, $_ENV, $_FILES, isset($_SESSION) && is_array($_SESSION) ? $_SESSION : array());
foreach ($input as $k => $v) {
if ($k=='GLOBALS') {
global $kgr;
$kgr=0;
kill_GLOBALS($input[$k]); //GLOBALS is recursive -,-
}
elseif (!in_array($k, $noUnset) && isset($GLOBALS[$k])) {
$GLOBALS[$k]=NULL;
}
}
}
这里的 unregister_GLOBALS() 函数虽然试图清理全局变量，但其逻辑存在漏洞——它仅在 register_globals=On 时才会执行清理。而我们在 go.php 中已经通过 parse_str() 覆盖了任意变量，这相当于在 unregister_GLOBALS() 执行之前就注入了恶意变量。更严重的是，unregister_GLOBALS() 本身也使用 $_GET、$_POST 等超全局数组作为输入源，这意味着我们可以绕过它的过滤，从而触发变量未初始化漏洞。
一旦变量未初始化漏洞被触发，后果将非常严重：跨站脚本（XSS）、SQL注入、命令执行等安全问题都可能连锁出现。因此，该漏洞的关键利用链是：首先通过 go.php 的 parse_str() 覆盖变量，然后利用文件包含入口配合未初始化漏洞，最终实现远程代码执行。至于 basename() 的限制？可以通过精心构造的路径或配合其他环境因素来绕过，具体手法因场景而异。
