阿裡雲控制台報dedecms注入漏洞 路逕xxx/plus/search.php

假设xxx就是你的网站根目录, 那么涉嫌可注入的文件点就是:

xxx/plus/search.php

找到以下代码:

//引入栏目缓存并看关键字是否有相关栏目内容
require_once($typenameCacheFile);
if(isset($typeArr) && is_array($typeArr))

{
    foreach($typeArr as $id=>$typename)

{
        $keywordn = str_replace($typename, ‘ ‘, $keyword);
        if($keyword != $keywordn)

{
            $keyword = $keywordn;
            $typeid = $id; // 对ID没做任何过滤 导致注入
            break;
        }
    }
}

以上代码只是样例, 也许中途有别人改过, 或者你自己打过补丁, 其实只要你观察

$keyword = $keywordn;
$typeid = $id;

这两句就知道是否打过补丁。如果打过了，那就无所谓了。

改成如下代码的样子:

    //引入栏目缓存并看关键字是否有相关栏目内容
    require_once($typenameCacheFile);
    if(isset($typeArr) && is_array($typeArr))
    {
        foreach($typeArr as $id=>$typename)
        {
            //$keywordn = str_replace($typename, ' ', $keyword);
            $keywordn = $keyword;
            if($keyword != $keywordn)
            {
                $keyword = HtmlReplace($keywordn);
                $typeid = intval($id);
                break;
            }
        }
    }

不要嫌麻烦, 既然是自己的网站，请耐心比照一下看看哪里需要改。

我都手动修复完了, 文件也保存好了, 怎么阿里云还报这个文件有漏洞?

找你要钱, 让你买阿里的安全产品。如果腰包不充裕的话, 不理就是了。