商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

phpcms网站漏洞修复之远程代码写入缓存漏洞利用

发表日期:2018-12-04 15:11聚圣源浏览次数: 本文关键词:phpcms,网站,漏洞,修复,之,远程,代码,写入,缓存,

SINE宁静公司在对phpcms2008网站代码举行宁静检测与审计的时间发明该phpcms存在长途代码写入缓存文件的一个SQL注入毛病,该phpcms毛病危害较大,可以导致网站被黑,以及办事器遭受黑客的打击,关于这次发明的phpcms毛病细节以及怎样使用提权我们来具体分析。

phpcms2008是海内深受站长建站利用的一个内容CMS治理体系,phpcms的开源话,免费,动态,静态天生,API接口,模板免费下载,自界说内容计划,可提供步伐的二次开辟与计划,大大方便了整个互联网站长的建站利用与优化。整个phpcms接纳PHP+Mysql数据库作为架构,稳固,并发高,承载量大。

phpcms2008毛病详情

在对代码的宁静检测与审计当中,发明type.php文件代码存在毛病,代码如下:

phpcms网站漏洞修复之远程代码写入缓存漏洞利用

以上代码if(empty($template)) 在举行变量界说的时间可以跟进来看下,通过extract举行变量的声明与注册,假如当前的注册已经有了,就不会笼罩当前已有的声明,导致可以变量伪造与注入。

我们再来跟踪该代码找到template函数,看到调用到了include目次下的global.func.php文件,该代码里的function template会对通报过来的界说值举行判定,默认TPL_REFRESH是为1的参数值,也就是说主动开启了模板缓存功效。当必要更新缓存的时间就会先判定有没有变量注册,假如有就会举行更新缓存。

该毛病使用的就是缓存的更新,将网站木马代码插入到缓存文件当中去。可以看出$template没有举行过滤就可以直接写入到缓存模板中,我们可以指定TAG内容,post提交已往,如下代码:

phpcms网站漏洞修复之远程代码写入缓存漏洞利用

我们在本身的当地电脑搭建了一套phpcms2008体系的情况,举行毛病测试,提交post参数已往,我们看下当地的毛病效果,可以实行phpinfo代码。也可以插入一句话木马后门举行上传webshell。

phpcms网站漏洞修复之远程代码写入缓存漏洞利用

phpcms毛病修复与宁静发起

现在phpcms官方已经修复该毛病,请各大网站运营者尽快升级phpcms2008到最新版本,有些二次开辟的网站可以针对缓存目次举行宁静限定,克制PHP脚本文件的实行,data,cache_template目次举行宁静加固摆设,对网站上的毛病举行修复,大概是对网站宁静防护参数举行重新设置,使他切合其时的网站情况。假如不懂怎样修复网站毛病,也可以找专业的网站宁静公司来处置惩罚,海内也就Sinesafe和绿盟、启明星辰等宁静公司比力专业.

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/11853.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:1978

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1892

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1813

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1347

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:944

相关文章

不懂SEO优化,如何用云指建站把...

项目招商年末回馈 入驻既享多重推广福利 公司没有专业的SEO职员,怎样把网站优化做好呢?这确实是一件很头疼的事变! SEO是一项专业性非常强的事情,不懂SEO原理根本做不来,请个专...

日期:2018-12-26 浏览次数:182

中企动力:个人网站建设基础流...

抢!抢!抢! 双12大促项目招商整年只需4999 一个优质的网站,不但可以或许资助企业举行品牌宣传,还可以或许提拔产物转化,就像一个24小时在线整年无休的贩卖员。那企业搭建这么...

日期:2018-12-22 浏览次数:93

5个网页制作的小技巧,快速提高...

抢!抢!抢! 双12大促项目招商整年只需4999 在信息爆炸的期间,用户的每一个点击都很贵重。我们通过种种渠道好不轻易吸引来了网站的流量,假如这些流量没有得到转换,就即是白...

日期:2018-12-13 浏览次数:82

thinkphp 最新版本5.0到5.1高危漏洞...

抢!抢!抢! 双12大促项目招商整年只需4999 THINKPHP毛病修复,官方于克日,对现有的thinkphp5.0到5.1全部版本举行了升级,以及补丁更新,这次更新重要是举行了一些毛病修复,最严峻的就...

日期:2018-12-13 浏览次数:303

建设一个持续抓取潜在客户的网...

之前谈到《怎样做一个连续赢利的网站:计谋和定位》,实在内里另有很详细的一些事情要做,建立一个可以或许源源不停抓取潜伏客户的网站预备事情,也就是在运营一个产物大概办...

日期:2018-12-08 浏览次数:88

随机推荐

百度快照被劫持 怎么修复与排查...

大型站点网站改版(更换域名)...

Wordpress对比织梦和帝国,选择用...

不懂编程也能建站 一个自助建站...

手机网站建设流程细节和注意事...

HTML5 Canvas中绘制矩形实例教程...