1、位置Lib/Lib/Action/Admin/DataAction.class.php，兩處

創(chuàng)新互聯(lián)建站是一家專(zhuān)業(yè)從事網(wǎng)站建設(shè)、做網(wǎng)站、網(wǎng)頁(yè)設(shè)計(jì)的品牌網(wǎng)絡(luò)公司。如今是成都地區(qū)具影響力的網(wǎng)站設(shè)計(jì)公司,作為專(zhuān)業(yè)的成都網(wǎng)站建設(shè)公司,創(chuàng)新互聯(lián)建站依托強(qiáng)大的技術(shù)實(shí)力、以及多年的網(wǎng)站運(yùn)營(yíng)經(jīng)驗(yàn),為您提供專(zhuān)業(yè)的成都網(wǎng)站建設(shè)、營(yíng)銷(xiāo)型網(wǎng)站建設(shè)及網(wǎng)站設(shè)計(jì)開(kāi)發(fā)服務(wù)！

未經(jīng)處理的GET和POST參數(shù)直接拼接到路徑后，造成文件刪除。但實(shí)際本地測(cè)試發(fā)現(xiàn)_bak文件夾默認(rèn)是不存在的，需要進(jìn)行備份功能后才能生成。
全局搜索_bak字段，找到一處_bak文件夾的創(chuàng)建，在Lib/Lib/Action/Admin/DataAction.class.php 51行的write_file函數(shù)。

進(jìn)入write_file函數(shù)，可以看到內(nèi)部調(diào)用了封裝了的mkdir方法mkdirss

現(xiàn)在構(gòu)造payload，需要先備份使創(chuàng)建_bak文件夾。這里需要滿(mǎn)足strlen($sql) >= $filesize*1000。

備份成功

下面構(gòu)造文件刪除payload，訪問(wèn)http://localhost:8888/4.0.181010/index.php?s=/admin-data-del&id=../../../../../../../../../Users/xx/Desktop/123.txt ，刪除123.txt文件

另一處原理相同，這里不再測(cè)試。
2、位置Lib/Lib/Action/Admin/TplAction.class.php，88

可以看到id參數(shù)沒(méi)有做過(guò)濾，是可以進(jìn)行任意文件刪除的。測(cè)試時(shí)在桌面上創(chuàng)建123.txt，構(gòu)造payload為http://localhost:8888/4.0.181010/index.php?s=/admin-tpl-del&id=/Users/xx/Desktop/123.txt

可以看到文件已刪除。