PHP/JAVA

阿里云报漏洞: DedeCMS会员中心注入漏洞 media_add.php 封堵方法

字号+ 编辑: 种花家修订: 种花家来源: 原创 2023-09-09 我要说两句(0)

阿里云盾后台报织梦内容管理系统漏洞: 会员中心注入漏洞, 实际是一个任意文件类型的上传处理不当所导致的, 如何解决呢?

正常来说, 后台默认文件夹都叫dede, 那么出问题的文件默认位置应该在网站根目录下/dede/media_add.php下面

如果您之前害怕别人随随便便就进了后台, 改了文件夹名字, 那么把dede这个名字对应换掉即可。总之找到这个文件, 备份一档，再拿个编辑器打开。

找到其中一段代码

$fullfilename = $cfg_basedir.$filename;

在这一行的上面, 增加一段正则判断式, 屏蔽掉一些动态文件的上传, 具体代码如下:

if (preg_match('#\.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) {
    ShowMsg('你指定的文件名被系统禁止！','java script:;');
    exit();
}

这样一来坏蛋就没办法利用这个漏洞来坏你。

各位看官！本文如有BUG或错别字，您可以在评论区挑出来。

阅完此文,您的感想如何?

有用

0
没用

1
开心

0
愤怒

0
可怜

0

%E6%99%BA%E8%83%BD%E7%A1%AC%E4%BB%B6 %E6%97%A0%E7%BA%BF%E5%85%85%E7%94%B5 %E7%A7%BB%E5%8A%A8%E7%94%B5%E6%BA%90 dedecms %E7%BB%87%E6%A2%A6 %E9%98%BF%E9%87%8C%E4%BA%91 %E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E

1.如文章侵犯了您的版权,请发邮件通知本站,该文章将在24小时内删除;
2.本站标注原创的文章，转发时烦请注明来源;
3.Q群: 2702237 13835667