前言

最近发现 dedecms 的 nday后台getshell ，于是打算还原一下。根据日志显示，攻击者访问了 dede/ad_add.php 文件后，转而访问 plus/ad_js.php 文件，提交的 payload 为 plus/ad_js.php?nocache=1&aid=1&_=whoami 。