位置: IT常识 - 正文

PHPCMS漏洞之前台注入导致任意文件读取(web cms漏洞)

编辑:rootadmin
PHP中文网中有大量免费的PHPCMS教程,欢迎大家来学习。本篇给大家介绍了关于PHPCMS前台注入导致任意文件读取漏洞的修复问题,以便大家解决漏洞问题。

推荐整理分享PHPCMS漏洞之前台注入导致任意文件读取(web cms漏洞),希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:semcms漏洞,php网站漏洞,php网站漏洞,phpweb漏洞,web cms漏洞,web cms漏洞,web cms漏洞,php168cms漏洞,内容如对您有帮助,希望把文章链接给更多的朋友!

关于phpcms前台注入导致任意文件读取漏洞的修复问题

简介:phpcms的/phpcms/modules/content/down.php 文件中,对输入参数 $_GET['a_k'] 未进行严格过滤,导致SQL注入的发生,黑客可利用该漏洞读取任意文件。…阿里云服务器提示漏洞问题。

解决办法:

1、根据简介中的漏洞提示,找到对应文件down.php的对应位置(第18、89行 附近),添加或替换相应的代码。

补丁代码片段如下:

$a_k = safe_replace($a_k);parse_str($a_k);

修改后的补丁代码片段截图如下:

第一处修改,第18行附近:

PHPCMS漏洞之前台注入导致任意文件读取(web cms漏洞)

第二处修改,第89行附近:

注意:第一处和第二处的补丁代码内容一样。

第三处修改,第120行附近:

补丁代码片段如下:

$fileurl = str_replace(array('<','>'), '',$fileurl);file_down($fileurl, $filename);

注意:经过实际测试,上述两行代码之间尽量不要有其他代码,以免被阿里云检测结果为修复无效。

修改后的补丁代码片段截图如下:

2、然后,将修改好的文件,上传到服务器对应文件位置,直接覆盖;

3、最后,登录阿里云后台,点击验证(截图如下),即可完成漏洞修复。

PHP中文网,大量的免费PHPCMS教程,欢迎在线学习!

本文链接地址:https://www.jiuchutong.com/zhishi/310156.html 转载请保留说明!

上一篇:PHPCMS 与 MVC 的区别?(phpcms模块)

下一篇:Python测试前置操作的方法(前置测试模型)

  • 微信如何取消银行卡绑定(微信如何取消银行卡优先支付)

    微信如何取消银行卡绑定(微信如何取消银行卡优先支付)

  • 华为手机相册照片怎么压缩打包(华为手机相册照片正在加载)

    华为手机相册照片怎么压缩打包(华为手机相册照片正在加载)

  • 小爱同学恢复出厂设置后怎么连接(小爱同学恢复出厂设置有没有影响?)

    小爱同学恢复出厂设置后怎么连接(小爱同学恢复出厂设置有没有影响?)

  • 微信的花呗功能怎么开通(微信的花呗功能是什么)

    微信的花呗功能怎么开通(微信的花呗功能是什么)

  • 华硕键盘某些按键失灵(华硕键盘按不动)

    华硕键盘某些按键失灵(华硕键盘按不动)

  • 苹果11闪光灯感叹号(苹果闪光灯感觉松动)

    苹果11闪光灯感叹号(苹果闪光灯感觉松动)

  • 华为p40有呼吸灯吗(华为p40呼吸灯在哪里设置)

    华为p40有呼吸灯吗(华为p40呼吸灯在哪里设置)

  • 直通车展现量突然没了(直通车展现量突然变少)

    直通车展现量突然没了(直通车展现量突然变少)

  • 微信怎么查自己的健康码(微信怎么查自己的银行卡号)

    微信怎么查自己的健康码(微信怎么查自己的银行卡号)

  • 耳机3.5mm是什么意思(耳机的3.5mm)

    耳机3.5mm是什么意思(耳机的3.5mm)

  • 淘宝商家可以看见买家哪些信息(淘宝商家可以看见买家电话吗)

    淘宝商家可以看见买家哪些信息(淘宝商家可以看见买家电话吗)

  • android的开发语言是什么(android开发语言介绍)

    android的开发语言是什么(android开发语言介绍)

  • 什么是算法的复杂度分析(什么算法的复杂度是nlog2的)

    什么是算法的复杂度分析(什么算法的复杂度是nlog2的)

  • 内存储器包括什么(内存储器包括哪两部分)

    内存储器包括什么(内存储器包括哪两部分)

  • 128kbs网速能看视频吗(128k网速能看视频吗)

    128kbs网速能看视频吗(128k网速能看视频吗)

  • 360路由器管理员用户名是什么(360路由器管理员密码在哪看)

    360路由器管理员用户名是什么(360路由器管理员密码在哪看)

  • vivo手机来电不显示姓名怎么回事(vivo手机来电不显示号码怎么设置)

    vivo手机来电不显示姓名怎么回事(vivo手机来电不显示号码怎么设置)

  • iphone怎么没有声音了(iphone怎么没有声音了怎么办)

    iphone怎么没有声音了(iphone怎么没有声音了怎么办)

  • 小米9pro月亮模式怎么开(小米九手机的月亮模式在哪开启)

    小米9pro月亮模式怎么开(小米九手机的月亮模式在哪开启)

  • 打印机碳粉盒怎么打开(打印机碳粉盒怎么安装)

    打印机碳粉盒怎么打开(打印机碳粉盒怎么安装)

  • 联华充值卡微信能用吗(联华充值卡怎么充值到微信账户)

    联华充值卡微信能用吗(联华充值卡怎么充值到微信账户)

  • 苹果小程序添加到桌面(苹果小程序添加到桌面失败)

    苹果小程序添加到桌面(苹果小程序添加到桌面失败)

  • vivoiqoo有红外线功能吗(vivoiqoo有没有红外线遥控)

    vivoiqoo有红外线功能吗(vivoiqoo有没有红外线遥控)

  • 纺织品产量
  • 一般纳税人所得税是季报还是月报
  • 购入免征车船税吗
  • 购税控盘账务处理
  • 关联的公司
  • 购置税交了发票能作废吗
  • 公司组织游玩员招聘
  • 一般纳税人开专票和普票的税率
  • 增值税普通发票怎么开
  • 生产企业没有进项税如何交增值税
  • 商业承兑汇票贴现转让
  • 代扣车船税的手续有哪些
  • 公司增资需要什么
  • 增值税申报交税后怎样补录未抵扣进项税
  • 员工两处取得工资收入
  • 银行现金日记账表格
  • 公司支付的赔偿款计入什么会计科目
  • 公司注销 缴税
  • 小企业的场地租金怎么算
  • 往公户存钱怎么存最划算
  • 极易一键重装系统怎么用
  • 新公司成立前期费用
  • 收到的担保费如何记账
  • ssms注释
  • vue怎么让按键启用和禁用
  • vue中如何使用axios
  • 专家评审费可以由中标人支付吗
  • 计提折旧事考虑了残值净值怎么算
  • Yii CFileCache 获取不到值的原因分析
  • vmware虚拟机安装在移动硬盘
  • vue国际化解决方案
  • 人工智能答案
  • 企业季度预缴土地出让金
  • 罚款是否需要开证明
  • 增值税留抵税额科目如何使用
  • 全年一次性奖金单独计税还是并入
  • 年终奖是以工资形式发放吗
  • 第四季度报表和年报对不上
  • 出口报关单运费可以填0吗
  • sqlserver数据库版本号怎么查
  • 无形资产分期付款会计分录?
  • 进项税额与库存的关系
  • 前期物业管理阶段的工作有哪些
  • 公司利润如何提取避税
  • 印花税缴纳怎么做账
  • 商标 入账
  • 查账征收的优点
  • 维修费收入怎么结转销售成本
  • 营业外支出增加说明了什么
  • 技术合同免税备案税务局
  • 如何调整以前年度的实收资本
  • 利润表的编制方法和步骤实操
  • 磁盘缓存技术
  • 组装电脑光盘分几种
  • win10两个网络怎么选择网络
  • upgrade.exe - upgrade进程是什么意思
  • vm15虚拟机安装
  • ssonsvr.exe - ssonsvr是什么进程
  • win10注册表详解
  • win10系统开机蓝屏得重启后才能开机
  • mtask.exe - mtask是什么进程 有什么用
  • android opengles2.0教程
  • 利用python进行
  • cocos2djs
  • html5字体闪烁
  • html+css网站设计基础教程
  • javascript要怎么学
  • jquery获取input内容
  • 关于批处理的说法错误的是
  • jquery中ajax处理跨域的三大方式
  • unity操作教程
  • unity3d基础操作
  • adb shell命令
  • 用javascript
  • python中url
  • 许昌市民之家有餐厅吗在几楼
  • 江苏税务app操作手册
  • 农产品电子发票可以抵扣吗
  • 税务注销证明样本
  • 海淀九所税务局电话
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设