一些文件上传接口,同时dedecms对上传文件的后缀类型未进行严格的限制,这导致了黑客可以上传WEBSHELL,获取网站后台权限

dedecms早期版本后台存在大量的富文本编辑器,该控件提供了一些文件上传接口,同时dedecms对上传文件的后缀类型未进行严格的限制,这导致了黑客可以上传WEBSHELL,获取网站后台权限

media_add.php dedecms后台文件任意上传漏洞修复方法,主要是文件/dede/media_add.php或者/你的后台名字/media_add.php。

搜索

$fullfilename = $cfg_basedir.$filename; (大概在69行左右)

替换成

if (preg_match('#\.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) {
ShowMsg("你指定的文件名被系统禁止!",'java script:;');
exit();
}
$fullfilename = $cfg_basedir.$filename;

爱安网提醒您:修改文件前请做好文件备份。将新的media_add.php 文件上传替换阿里云服务器上即可解决此问题。

最新资讯
娱乐机器人行业:兴于教育,困于教育

娱乐机器人行业:兴于教

看过《澳门风云3》这部电影的朋友们,一定对剧中的机器
科技企业家的自恋行为启示录

科技企业家的自恋行为

大家有没有明显地感觉到,一向来以谦逊、低调、兼容并蓄
投资理想汽车赚58亿,美团还想继续"烧钱"押注新业务

投资理想汽车赚58亿,美

用更低成本获取更多用户,是美团发展新业务的核心逻辑。
王兴,投兄弟又赚了一笔

王兴,投兄弟又赚了一笔

低调做了多年投资,王兴还收获了一个深刻感受——他在饭
马上玩App分时出租爱奇艺VIP帐号 爱奇艺起诉获赔300万

马上玩App分时出租爱

日前,北京知识产权法(tian)院(ping)二审审结了一起分时段出租视频网
谷歌和Facebook或明年1月在美面临新的反垄断诉讼

谷歌和Facebook或明年

谷歌和Facebook或将于明年1月底在美国面临新的反垄断
最新文章
织梦CMS实现会员审核功能的方法

织梦CMS实现会员审核

这篇文章主要介绍了织梦CMS实现会员审核功能的方法以
织梦DEDE发布文章设置会员查看级别的方法

织梦DEDE发布文章设置

在本篇文章里小编给大家分享的是一篇关于织梦DEDE发布
织梦dedecms 本地模板安装图文方法

织梦dedecms 本地模板

这篇文章主要介绍了织梦dedecms 本地模板安装图文方法
dedecms关闭mysql错误日志生成文件功能(防止暴露后台与管理员)

dedecms关闭mysql错误

织梦程序在mysql错误时会自动在data文件夹里生成一个
织梦dedecms图片集图集内容不能自动内链的解决方法

织梦dedecms图片集图

这篇文章主要介绍了织梦dedecms图片集图集内容不能自
织梦dedecms在模板页面中实现会员登录退出状态显示的方法

织梦dedecms在模板页

这篇文章主要介绍了织梦dedecms在模板页面中实现会员