您现在的位置是:首页 > 教程 > dedecms教程dedecms教程
dedecms的SQL注入0day漏洞修复教程
雪柳2023-09-25 12:30:46dedecms教程已有人查阅
导读4月29日消息:国内安全研究团队“知道创宇”称截获到较新DEDECMS SQL注入0day,DEDECMS官网目前提供下载的较新版
4月29日消息:国内安全研究团队“知道创宇”称截获到较新DEDECMS SQL注入0day,DEDECMS官网目前提供下载的较新版5.7也受影响,截止本告警发出时官方尚未给出补丁或解决方案,此漏洞利用简单且dedecms安装之后默认即开启漏洞模块。
知道创宇给出三种临时解决方案:
方案一、临时补丁,需要四步
1. 确保您的magic_quotes_gpc = On
详细开启方式:打开php安装目录中的php.ini(若您使用的是appserv等集成环境,php.ini可能在系统盘符:\windows\php.ini),搜索magic_quotes_gpc,将其设置为On。
2./plus/carbuyaction.php 22行附近即
系统 -> 系统基本参数 -> 会员设置 -> 是否开启会员功能 改为(否)
方案三、若贵站不需要会员功能,可考虑直接重命名或删除存在漏洞的文件 /member/ajax_membergroup.php,最 却有效的方式。
注明:本文给出的临时补丁仅供临时防御,对系统造成轻微影响尚未进行系统测试,具体补丁等需等待官方补丁。
知道创宇给出三种临时解决方案:
方案一、临时补丁,需要四步
1. 确保您的magic_quotes_gpc = On
详细开启方式:打开php安装目录中的php.ini(若您使用的是appserv等集成环境,php.ini可能在系统盘符:\windows\php.ini),搜索magic_quotes_gpc,将其设置为On。
2./plus/carbuyaction.php 22行附近即
if($cfg_mb_open == 'N') { ShowMsg("系统关闭了会员功能,因此你无法访问此页面!","javascript:;"); exit(); }
下面添加一行代码
$rs =array();
3.在 member/ajax_membergroup.php 33行附近即
if(empty($membergroup)){ echo "您还没有设置分组!"; exit; }
下面加入如下代码:
if(strpos($membergroup,"'")){ echo "SQL注入防护临时补丁,知道创宇安全团队提醒您关注官方补丁!"; exit; }
4.原member/ajax_membergroup.php 36 行附近的
$row = $dsql->GetOne("SELECT groupname FROM ddmx_member_group WHERE mid = {$cfg_ml->M_ID} AND id={$membergroup}");
修改为
$row = $dsql->GetOne("SELECT groupname FROM ddmx_member_group WHERE mid = {$cfg_ml->M_ID} AND id='{$membergroup}'");
方案二、以网站管理员身份后台禁用会员功能系统 -> 系统基本参数 -> 会员设置 -> 是否开启会员功能 改为(否)
方案三、若贵站不需要会员功能,可考虑直接重命名或删除存在漏洞的文件 /member/ajax_membergroup.php,最 却有效的方式。
注明:本文给出的临时补丁仅供临时防御,对系统造成轻微影响尚未进行系统测试,具体补丁等需等待官方补丁。
本文标签:
很赞哦! ()
相关文章
随机图文
-
织梦留言本添加到首页栏目中的方法
我想有很多朋友想尝试将留言本的标题调用首页,而自成首页的一个栏目,下面是我从网上学到的调用方法,现发出来,供大家研究参考。 -
dedecms模板安装步骤教程,dedecms模板怎么安装
在安装模板之前我们先熟悉一下DEDE模板的相关知识1,模板路径:a:模板文件路径:DEDE的默认模板文件是保存在{cmspath}/templets/ -
织梦联动两级怎么变成一级
织梦模板的联动类型两级可以变一级的,相信大家都很需要吧,现在就来说一下如何修改文件,找到infolink.lib.php -
织梦模板怎么实现快速返回页面顶部或指定位置的方法
dede织梦模板制作其实有许多时候都要用到js,比如我们今天想要说的这个功能——点击按钮返回页面顶部以及标签切换高效,都是要用到简单的js语句
留言与评论 (共有 条评论) |
大家在看
本栏推荐
相关标签
大家喜欢
- 修改dedecms栏目名称长度限制怎么修改
- 织梦dede问答,留言本,会员空间导航实现支持标签调用的方法
- 织梦dedecms模板建造中常用的几个判定语句写法
- dedecms5.6/5.7图集上传图片水印无效的解决方法
- 修改dede织梦添加栏目时“文章命名规则”默认路径的方法
- dedecms织梦产品图集实现图片缩略图切换大图的方法
- 织梦错误Fatal error: Using $this when not in object context
- 在dedecms网站上去掉“下载长途图片和资源”勾选的方法
- dedecms文章第一张图片设置为文章缩略图的SQL语句
- 织梦提示无法获得主键,因此无法进行后续的解决方法