阿裡雲控制台報dedecms注入漏洞 路徑xxx/plus/search.php

假設xxx就是你的網站根目錄, 那麽涉嫌可注入的文档點就是:

xxx/plus/search.php

找到以下代碼:

//引入欄目緩存並看關鍵字是否有相關欄目内容
require_once($typenameCacheFile);
if(isset($typeArr) && is_array($typeArr))

{
    foreach($typeArr as $id=>$typename)

{
        $keywordn = str_replace($typename, ‘ ‘, $keyword);
        if($keyword != $keywordn)

{
            $keyword = $keywordn;
            $typeid = $id; // 對ID沒做任何過濾 導致注入
            break;
        }
    }
}

以上代碼只是樣例, 也許中途有別人改過, 或者你自己打過補丁, 其實只要你觀察

$keyword = $keywordn;
$typeid = $id;

這兩句就知道是否打過補丁。如果打過了，那就無所謂了。

改成如下代碼的樣子:

    //引入欄目緩存並看關鍵字是否有相關欄目内容
    require_once($typenameCacheFile);
    if(isset($typeArr) && is_array($typeArr))
    {
        foreach($typeArr as $id=>$typename)
        {
            //$keywordn = str_replace($typename, ' ', $keyword);
            $keywordn = $keyword;
            if($keyword != $keywordn)
            {
                $keyword = HtmlReplace($keywordn);
                $typeid = intval($id);
                break;
            }
        }
    }

不要嫌麻煩, 既然是自己的網站，請耐心比照一下看看哪裡需要改。

我都手動修複完了, 文档也保存好了, 怎麽阿裡雲還報這個文档有漏洞?

找你要錢, 讓你買阿裡的安全産品。如果腰包不充裕的話, 不理就是了。