问题很大，最好不要忽视。。。。利用代码将php木马插入到cache/目录里轻松获得webshell，可批量。
利用搜索引擎搜索
Powered by php168 v6或者一下版本v5、v4、v3、v2、v1会搜索到很多很多相关的网站
由于漏洞是因为login.php文件对于变量过滤不严所造成的，因此我们无需想方设法的去破解密码，而只需将 黑客 获取网站webshell的利器[一句话木马]写入到网站中就可以了。
我们随便找网站测试
在其域名后加上这样一段代码：login.php?makehtml=1&chdb[htmlname]=wooyun.php&chdb[path]=cache&content= 。这段代码的意思利用login.php文件将 这段代码写入到网站缓存目录cache的wooyun.php文件中。[ ]就是一句话木马的服务端。
那么URL就是http://HdhCmsTest2cto测试数据 /login.php？makehtml=1&chdb[htmlname]=wooyun.php&chdb[path]=cache&content=
然后点击回车
如果跳转到登陆界面的话就有可能已经将木马写入到了cache目录里了
这时我们进入木马地址看看http://HdhCmsTest测试数据/cache/wooyun.php
OK，什么都不显示就说明一句话木马写入成功,我们连接上工具看看
成功拿到webshell
也可以直接上传大马，我就不演示了。
其他网站也存在该 漏洞
漏洞修复方法： 升级版本。
查看更多关于PHP168 6.0及以下版本login.php存重大安全漏洞 - 网站的详细内容...