Пхп инклюд для начинающих

[extrimportal]

Вот решил поинтересоваться темкой. Наткнулся на траблу. Читал статью, источник Для просмотра ссылки Войди или Зарегистрируйся
Там сказано так:

Программист сайта видимо надеялся на то, что в мире нет плохих юзверей, которые пройдут его сайт мимо. Но зря он надеялся. Наверное, каждый из нас, как увидит ссылку типа index.php?page=shop
Сразу вместо shop пишет dsdsds и смотрит на результат.Он будет примерно таким:

Warning: main(dsdsds.php): failed to open stream: No such file or directory in /home/user/www//page.php on line 3

Warning: main(dsdsds.php): failed to open stream: No such file or directory in /home/user/www/page.php on line 3

Warning: main(): Failed opening 'dsdsds.php' for inclusion (include_path='.:/usr/lib/php:/usr/local/lib/php:/usr/local/share/pear') in /home/user/www/page.php on line 3

Ура. Это и есть инлуд. Давайте подставим вместо dsdsds ссылку на наш сайт с шеллом, например Для просмотра ссылки Войди или Зарегистрируйся (Важно! Без расширения на конце!) и о чудо, мы только что получили веб-шелл.

Нашол сайт и подставлял Для просмотра ссылки Войди или Зарегистрируйся
В результате загрузился шелл в их сайте. Дальше торможу. Зачем мне смотреть шелл если оно грузит мой шелл и там все мое доступа к их чему то нет. И вопрос, это я так торможу и что то неправильно понял или так и должно быть???
П.С. просьба сильно не пинать, ток учусь....

 

[ZCFD]

первая мцысль -- не то подставлял )))
В таких случаях нужно что бы твой сервер отдавал php код ( часто новички указывают урл своего шелла, который исполняясь на сервере отдает уже готовый html )

проверил

то что у них в урле используется ?page= ниочем не говорит ))) это просто повод присмотреться

в данном случае значение $_GET['page'] передается не функции include()(require() ) а чему то вроде file_get_contents() ( или join() или еще чему-нибудь)
т.е. код из указанного файла не выполняется, а просто выводится пользователю

Добавлено через 47 секунд
инклюд тут не прокатит , а вот xss - запросто

 

[tostrss]

Здесь не инклуд, в этом параметре задается фрейм.