http://www.cutestat.net

dedecms后台文件任意上传漏洞 media_add.php 修复

dedecms早期版本后台存在大量的富文本编辑器,该控件提供了一些文件上传接口,同时dedecms对上传文件的后缀类型未进行严格的限制,这导致了黑客可以上传WEBSHELL,获取网站后台权限。

织梦在安装到阿里云服务器后阿里云后台会提示media_add.php后台文件任意上传漏洞,引起的文件是后台管理目录下的media_add.php文件,下面跟大家分享一下这个漏洞的修复方法:

一、找到代码 require_once(DEDEINC."/image.func.php");  大概20行

在其上面增加:csrf_check();

如图所示:

dedecms后台文件任意上传漏洞 media_add.php 修复

二:找到代码:$filename = $savePath."/".$filename; 大概64行

在其下面增加如下代码:

if (preg_match('#.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) { ShowMsg("百姓云霸屏提醒您文件已被禁止上传",'javascript:;'); exit(); } 

如图所示:

dedecms后台文件任意上传漏洞 media_add.php 修复

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。

【本文链接】:http://www.cutestat.net/cmssafe/1087.html