内容字号:默认大号超大号

段落设置:段首缩进取消段首缩进

字体设置:切换到微软雅黑切换到宋体

织梦dedecms后台文件任意上传漏洞修复方法

2016-07-29 08:55 出处:未知 人气: 评论(0

织梦dedecms后台文件任意上传漏洞修复方法

      

漏洞名称:dedecms后台文件任意上传漏洞
补丁编号:5970427
补丁文件:media_add.php
补丁来源:云盾自研
更新时间:2016-07-29 08:46:49
漏洞描述:dedecms早期版本后台存在大量的富文本编辑器,该控件提供了一些文件上传接口,同时dedecms对上传文件的后缀类型未进行严格的限制,这导致了黑客可以上传WEBSHELL,获取网站后台权限


今天分享的漏洞是一个关于织梦dedecms后台文件任意上传漏洞修复方法,主要是文件/dede/media_add.php或者/你的后台名字/media_add.php。

      搜索
$fullfilename = $cfg_basedir.$filename;
(大概在69行左右)
      替换成      
      
if (preg_match('#\.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) { ShowMsg("你指定的文件名被系统禁止!",'javascript:;'); exit(); } $fullfilename = $cfg_basedir.$filename;

     老规矩大红色地方标记了修改的地方,然后保存,接着备份原文件,比如文件名变为media_add.php.16.07.27.bak。然后上传修改好的文件即可。
分享给小伙伴们:

相关文章

发表评论愿您的每句评论,都能给大家的生活添色彩,带来共鸣,带来思索,带来快乐。

CopyRight © 2015-2016 QingPingShan.com , All Rights Reserved.