代理加盟 2019全新代理計劃 賺錢+省錢雙管齊下,獨立平臺,豐厚利潤!

您現在的位置: 大乐透复式20加8多少钱 > 織夢大學 > 織夢安全 >

复式计算题:dedecms cookies泄漏導致SQL漏洞 /member/article_add.php 修復

來源:未知 發布時間:2019-09-27熱度: ℃我要評論
dedecms的文章發表表單中泄漏了用于防御CSRF的核心cookie,同時在其他核心支付系統也使用了同樣的cookie進行驗證,黑客可利用泄漏的cookie通過后臺驗證,進行后臺注入。 /member/article_add.php 修復。 ...

大乐透复式20加8多少钱 www.wmmqog.com.cn 織夢模板免費下載,無需注冊無需充值

漏洞名稱:dedecms cookies泄漏導致SQL漏洞

補丁文件:/member/article_add.php

補丁來源:云盾自研

漏洞描述:dedecms的文章發表表單中泄漏了用于防御CSRF的核心cookie,同時在其他核心支付系統也使用了同樣的cookie進行驗證,黑客可利用泄漏的cookie通過后臺驗證,進行后臺注入。

解決方法:

找到代碼:

if (empty($dede_fieldshash) || $dede_fieldshash != md5($dede_addonfields.$cfg_cookie_encode))

修改成:

if ( empty($dede_fieldshash) || ( $dede_fieldshash != md5($dede_addonfields . $cfg_cookie_encode) && $dede_fieldshash != md5($dede_addonfields.'anythingelse'.$cfg_cookie_encode)) ) 

推薦D盾—WEB查看工具:

軟件使用自行研發不分擴展名的代碼分析引擎,能分析更為隱藏的WebShell后門行為。

引擎特別針對,一句話后門,變量函數后門,${}執行 ,`執行,

preg_replace執行,call_user_func,file_put_contents,fputs 等特殊函數

的參數進行針對性的識別,能查殺更為隱藏的后門,

并把可疑的參數信息展現在你面前,讓你能更快速的了解后門的情況

新版特別針對 dedecms 的{dede:php}{/dede:php}代碼加入了識別!

軟件加入隔離功能,并且可以還原!

如有不能識別的webshell請使用上傳樣本功能上傳給我們,我們將后期加入識別!

下載://www.d99net.net/down/WebShellKill_V1.4.1.zip

D盾查殺工具

本文地址://www.wmmqog.com.cn/dedecms_aq/1757.html

    發表評論

    評論列表(條)