商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

发表日期:2019-09-10 22:06聚圣源浏览次数: 本文关键词:精河县seo,帝国,CMS,漏洞,后台,代码,ge

近来我们SINE宁静在对帝国CMS体系举行代码宁静审计的时间,发明该体系存在网站毛病,受影响的版本是EmpireCMS V7.5,从帝国官方网站下载到当地,我们人工对其代码举行具体的毛病检测与宁静代码阐发。共计发明三个高危毛病,都是在网站的背景治理页面上的功效发明的。该毛病的产生,最泉源的题目是没有对get,post提交方法举行严酷的宁静效验与过滤,导致可以插入恶意代码到后端办事器中行止理,导致毛病的产生。

帝国CMS体系,简朴给各人先容一下,现在许多站长,以及企业建站,都在利用该套体系,快速,便捷,易于搜刮引擎收录,接纳的是B/S架构开辟,php语言+Mysql数据库,支持大并发同时访问,可以承载较多的用户快速的访问网站的各个页面与内容,模板自界说化,可以设置标签与自行计划网站表面,静态html天生,另有收罗功效,深受宽大站长和网站运营者的喜好。

我们SINE宁静技能在对该代码举行宁静检测与渗出测试的手,会先大要看下代码,认识整个网宿州站的架构,数据库设置文件,以及入口调用到的文件,通常调用到的宁静规矩是怎样写的,多个方面去大要的相识该代码,现在渗出测试中,发明的网站毛病有:SQL注入毛病,网站敏感信息泄漏,初始化安装功效毛病,直行平行越权逻辑毛病,恣意文件上传毛病,登录绕过毛病,短信验证码毛病,找回暗码毛病,数据库备份webshell,XSS跨站,CSRF毛病等候。

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

起首我们检测到的是帝国安装代码功效上存在可以插入恶意代码毛病,在install安装目次下的index.php文件中,可以查到表的前缀,也就是获取前端提交过来的参数,然后继承往下看,data目次下的fun.php代码里的参数并没有做任何的宁静效验,导致可以直接插入恶意代码写入到设置文件config.php中去。毛病详情如下图:

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

背景还存在get webshell毛病,打开背景治理功效页面,选择治理首页模板,紧接着右键点击增长首页方案中,复制毛病exp代码: 解密后是:ZWNobyAnPD9waHAgZXZhbCgkX1JFUVVFU1RbaHBdKTsnPnNoZWxsLnBocA=>echo 'shell.php

写到模板内容页面里,左键点击提交,再点击启用此方案,就在会e/admin/template/文件夹下天生一个shell.php文件。

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复
「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

关于帝国CMS毛病的修复措施,对全部的get,post哀求做宁静过滤,也可以直接在eaddslashes2的参数里增长恶意代码的拦截机制,先检测后放行,该毛病的使用条件是必要有背景治理员权限,使用的不是太多,发起对网站背景的治理目次举行变动,大概直接将治理员的暗码设置的庞大一些。假如您对网站毛病修复不是太懂的话,也可以找专业的网站宁静公司来处置惩罚,海内SINE宁静,启明星辰,绿盟,都是比力不错的,网站毛病常常出现,也请网站的运营者多多存眷EmpireCMS的官方,一有补丁就立刻修复掉,将宁静丧失降到最低。

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/15435.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:2117

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1913

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1832

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1369

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:968

相关文章

「托克逊seo」广受好评的企业建...

如今80%的企业网站都市接纳cms建站体系来搭建,海内许多用于企业建站的cms,小熊优化的小编先容几款有代表性的cms给各人。 一:PageAdmin PageAdmin是一种利用asp.net mvc开的综合性内容治理...

日期:2020-01-07 浏览次数:59

「乐山市seo」企业网站建设如何...

企业网站重要用于向外界展示企业产物和形象,假如网站内容富厚,页面雅观,用户体验好,将会为企业带来潜伏的用户,如今许多企业有建站的想法,但却苦于不懂技能或本钱上思量...

日期:2020-01-31 浏览次数:60

「宁波市网站建设」三大CMS建站...

短视频,自媒体,达人种草一站办事 许多从来没有做过网站的朋侪都市以为网站建立是一件很庞大的事情,只有专业职员才可以制作,实在当你相识之后,就会发明,网站建立没有你想...

日期:2019-12-22 浏览次数:62

「海门市seo」PageAdmin CMS仿站教程...

短视频,自媒体,达人种草一站办事 作为一个建站新手,常常瞥见别人的网站就以为高峻上,但是用网上下载的PageAdmin CMS模板,但是没有前端底子,以是又改不出我喜好的样子,那怎...

日期:2019-12-28 浏览次数:81

「晋宁县网站建设」企业网站建...

PageAdmin建站体系不停以来都是搭建企业网站的起首建站体系,现在也是海内用户最多的cms网站治理体系,模板富厚,功效强盛,扩展机动,可以轻松帮你打造一个独具特色的企业网站,...

日期:2019-11-25 浏览次数:60

随机推荐

云商O2O系统是什么?O2O系统哪家...

干货:BAOCMS外卖系统用户端12大...

百度统计和CNZZ到底有哪些不同?...

商丘网络营销:网站包装,找到...

换个角度用量子思维审视我们如...

论坛网站在建设和维护中SEO优化...