您现在的位置是:首页 > 教程 > dedecms教程dedecms教程
解决dede织梦投票模块漏洞的方法
怀蕊2024-02-18 23:55:06dedecms教程已有人查阅
导读有站长反映织梦投票模块的投票主题选项经常被sql注入删除,经过查看代码发现投票模块代码没有对sql参数进行转换,导致被黑客sql注入。
有站长反映织梦投票模块的投票主题选项经常被sql注入删除,经过查看代码发现投票模块代码没有对sql参数进行转换,导致被黑客sql注入。
解决方法如下:
只要把 addslashes() 改为 mysql_real_escape_string() 即可。
打开/include/dedevote.class.php文件
查找
* addslashes() 是强行加\;
* mysql_real_escape_string() 会判断字符集,但是对PHP版本有要求;(PHP 4 >= 4.0.3, PHP 5)
* mysql_escape_string不考虑连接的当前字符集。(PHP 4 >= 4.0.3, PHP 5, 注意:在PHP5.3中已经弃用这种方法,不推荐使用)
解决方法如下:
只要把 addslashes() 改为 mysql_real_escape_string() 即可。
打开/include/dedevote.class.php文件
查找
$this->dsql->ExecuteNoneQuery(“UPDATE `dede_vote` SET totalcount=’”.($this->VoteInfos['totalcount']+1).”‘,votenote=’”.addslashes($items).”‘ WHERE aid=’”.$this->VoteID.”‘”);
修改为
$this->dsql->ExecuteNoneQuery(“UPDATE `dede_vote` SET totalcount=’”.(mysql_real_escape_string($this->VoteInfos['totalcount'])+1).”‘,votenote=’”.mysql_real_escape_string($items).”‘ WHERE aid=’”.mysql_real_escape_string($this->VoteID).”‘”);
注:* addslashes() 是强行加\;
* mysql_real_escape_string() 会判断字符集,但是对PHP版本有要求;(PHP 4 >= 4.0.3, PHP 5)
* mysql_escape_string不考虑连接的当前字符集。(PHP 4 >= 4.0.3, PHP 5, 注意:在PHP5.3中已经弃用这种方法,不推荐使用)
本文标签:
很赞哦! ()
随机图文
-
织梦dedecms在模板里面引用另外的页面的代码示例
{dede:global name=字段名 runphp=yes} if(@me==视频) @me=getFileContent("你文件的路径"); { -
卸载dedecms畅言评论改用自带评论模块的方法
DedeCMS 5.7版本安装后默认使用的是搜狐推出的畅言评论模块而不是系统自带的评论模块,然而对于社会化评论系统,也是见仁见智,有人喜欢,也自有人不喜欢 -
dedecms文章添加跳转属性后打开出现空白的修复方法
使用DedeCMS发布文章时,如果给文章添加了跳转属性,有时候会出现跳转页面什么都不显示,在后台编辑时,也全是空白页。下面告诉大家解决办法: -
dedecms图片集水印无效的修复方法
DedeCMS网站有时候上传图片,图片水印不存在。这里分享一下织梦dedecms图集水印的BUG解决办法,测试有效,只测试了后台发布图集有效
留言与评论 (共有 条评论) |