商丘做网站,商丘网站优化,商丘网络推广,商丘网络公司
当前位置:首页 > 新闻资讯 > 建站经验 >

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

发表日期:2019-09-10 22:06聚圣源浏览次数: 本文关键词:「,精河县,seo,」,帝国,CMS,漏洞,后台,代码,ge

近来我们SINE宁静在对帝国CMS体系举行代码宁静审计的时间,发明该体系存在网站毛病,受影响的版本是EmpireCMS V7.5,从帝国官方网站下载到当地,我们人工对其代码举行具体的毛病检测与宁静代码阐发。共计发明三个高危毛病,都是在网站的背景治理页面上的功效发明的。该毛病的产生,最泉源的题目是没有对get,post提交方法举行严酷的宁静效验与过滤,导致可以插入恶意代码到后端办事器中行止理,导致毛病的产生。

帝国CMS体系,简朴给各人先容一下,现在许多站长,以及企业建站,都在利用该套体系,快速,便捷,易于搜刮引擎收录,接纳的是B/S架构开辟,php语言+Mysql数据库,支持大并发同时访问,可以承载较多的用户快速的访问网站的各个页面与内容,模板自界说化,可以设置标签与自行计划网站表面,静态html天生,另有收罗功效,深受宽大站长和网站运营者的喜好。

我们SINE宁静技能在对该代码举行宁静检测与渗出测试的手,会先大要看下代码,认识整个网宿州站的架构,数据库设置文件,以及入口调用到的文件,通常调用到的宁静规矩是怎样写的,多个方面去大要的相识该代码,现在渗出测试中,发明的网站毛病有:SQL注入毛病,网站敏感信息泄漏,初始化安装功效毛病,直行平行越权逻辑毛病,恣意文件上传毛病,登录绕过毛病,短信验证码毛病,找回暗码毛病,数据库备份webshell,XSS跨站,CSRF毛病等候。

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

起首我们检测到的是帝国安装代码功效上存在可以插入恶意代码毛病,在install安装目次下的index.php文件中,可以查到表的前缀,也就是获取前端提交过来的参数,然后继承往下看,data目次下的fun.php代码里的参数并没有做任何的宁静效验,导致可以直接插入恶意代码写入到设置文件config.php中去。毛病详情如下图:

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

背景还存在get webshell毛病,打开背景治理功效页面,选择治理首页模板,紧接着右键点击增长首页方案中,复制毛病exp代码: 解密后是:ZWNobyAnPD9waHAgZXZhbCgkX1JFUVVFU1RbaHBdKTsnPnNoZWxsLnBocA=>echo 'shell.php

写到模板内容页面里,左键点击提交,再点击启用此方案,就在会e/admin/template/文件夹下天生一个shell.php文件。

「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复
「精河县seo」帝国CMS漏洞 后台代码get webshell权限漏洞详情与修复

关于帝国CMS毛病的修复措施,对全部的get,post哀求做宁静过滤,也可以直接在eaddslashes2的参数里增长恶意代码的拦截机制,先检测后放行,该毛病的使用条件是必要有背景治理员权限,使用的不是太多,发起对网站背景的治理目次举行变动,大概直接将治理员的暗码设置的庞大一些。假如您对网站毛病修复不是太懂的话,也可以找专业的网站宁静公司来处置惩罚,海内SINE宁静,启明星辰,绿盟,都是比力不错的,网站毛病常常出现,也请网站的运营者多多存眷EmpireCMS的官方,一有补丁就立刻修复掉,将宁静丧失降到最低。

如没特殊注明,文章均来自网络! 转载请注明来自:http://www.jushengyuan.com.cn/news/jzjy/15435.html

网站设计案例推荐

热门文章

站长工具综合查询里面SSL证书不...

SSL证书不安全是怎么回事?但是点进去这个提示后,显示的是别人的tdk是不是被劫持或者被黑了?...

日期:2018-03-27 浏览次数:2057

简洁而实用的版权信息可增色网...

打开网站,人们自然会从上往下浏览,首先映入眼帘的一定是BANNER主视觉,然后是网站主体内容部分。相比较而言,注意到网站底部版权信息的浏览者确实不多,但这并说明网站版权信...

日期:2018-09-20 浏览次数:1908

网站设计需要注意的3点问题...

对于网站设计来讲会受到很多因素的影响,而且不同类型的网站,在设计时需要体现的元素也不一样,比如说对于一个企业网站更想体现出品牌以及产品的特点,主要是对产品、企业信...

日期:2018-02-12 浏览次数:1825

企业网站为什么要改版 改版选择...

网站改版,是每个建站企业必须面临的工作。相信也有不少站长问,已经做好的企业网站,为何还要大费周章重新进行改版设计呢?下面小编就来给大家说说,企业究竟为什么要改变,并...

日期:2018-03-26 浏览次数:1358

永城网站制作:模板建站不可不...

随着互联网建站尤其是自助建站热潮不断高涨,建站行业涌现出越来越多的自助建站平台,这些平台普遍都提供网站模板可选。...

日期:2018-04-30 浏览次数:953

相关文章

「察布查网站建设」怎么样实现...

营销型网站顾名思义就是以营销为目标,那么我们在网站建立的时间目的就比力明白了,但是灼烁确目的是远远不敷的,我们要从久远长处出发来建立我们的网站,下面我们提出几点对...

日期:2019-09-19 浏览次数:59

「辉南县seo」为什么营销型企业...

从线下营销到线上营销是一个变化非常大的历程,线下的营销模式和线上的营销模式是大相径庭的,线下营销许多地方都市受到限定会直接影响到我们的结果而线上营销就不一样它没偶...

日期:2019-09-14 浏览次数:59

「武鸣县网站建设」英文网站建...

由于如今的网络期间,许多公司有官方网站。而有国际商业往来的公司就必要一个英文的网站。英文网站建立和我们所见的中文网站建立偏重点是不一样的,本日小编就和来家一起来相...

日期:2019-09-12 浏览次数:59

「弋阳县网站建设」营销型企业...

企业建立营销型网站,并不是创建什么蜃楼海市,而是要实着实在地展示企业的紧张相干信息,此中包罗产物内容、办事项目、企业信息等等。从营销的角度来说,这些内容不但展示要...

日期:2019-09-15 浏览次数:59

「安岳县seo」网站建设教程:企...

当前互联网已经遍及到每小我私家的生存中,而企业网站对每个企业来说都黑白常紧张的,企业网站是企业网络营销和推广最根本的设置,可以很便捷的流传企业的产物、办事,树立企...

日期:2019-09-07 浏览次数:59

随机推荐

自助建站平台实力比拼:凡科、...

奢侈品电商企业辣么会玩,做个...

GoDaddy虚拟主机购买指南...

江湖家政O2O服务系统 手机端界面...

「辽阳市网站建设」网站漏洞修...

网站SEO建设运营维护遇到问题,...