您现在的位置是:首页 > 教程 > dedecms教程dedecms教程
DedeCMS织梦投票模块插件sql注入漏洞修复教程
单羽2023-09-28 17:39:56dedecms教程已有人查阅
导读有很多织梦站长朋友反映DedeCMS投票模块的投票主题的选项经常被sql注入删除,经过检查发现投票模块代码没有对sql参数进行转换,导致不法分子可以恶意利用sql注入。
有很多织梦站长朋友反映DedeCMS投票模块的投票主题的选项经常被sql注入删除,经过检查发现投票模块代码没有对sql参数进行转换,导致不法分子可以恶意利用sql注入。
解决方法很简单,只要将addslashes()改为mysql_real_escape_string()即可。
找到并打开/include/dedevote.class.php文件,在里面找到如下代码:
addslashes() 是强行加\;
mysql_real_escape_string() 会判断字符集,但是对PHP版本有要求;(PHP 4 >= 4.0.3, PHP 5)
mysql_escape_string不考虑连接的当前字符集。(PHP 4 >= 4.0.3, PHP 5, 注意:在PHP5.3中已经弃用这种方法,不推荐使用)
解决方法很简单,只要将addslashes()改为mysql_real_escape_string()即可。
找到并打开/include/dedevote.class.php文件,在里面找到如下代码:
$this->dsql->ExecuteNoneQuery(“UPDATE `dede_vote` SET totalcount='”.($this->VoteInfos[‘totalcount’]+1).”‘,votenote='”.addslashes($items).”‘ WHERE aid='”.$this->VoteID.”‘”);
将其替换为如下代码:
$this->dsql->ExecuteNoneQuery(“UPDATE `dede_vote` SET totalcount='”.($this->VoteInfos[‘totalcount’]+1).”‘,votenote='”.mysql_real_escape_string($items).”‘ WHERE aid='”.mysql_real_escape_string($this->VoteID).”‘”);
说明:addslashes() 是强行加\;
mysql_real_escape_string() 会判断字符集,但是对PHP版本有要求;(PHP 4 >= 4.0.3, PHP 5)
mysql_escape_string不考虑连接的当前字符集。(PHP 4 >= 4.0.3, PHP 5, 注意:在PHP5.3中已经弃用这种方法,不推荐使用)
本文标签:
很赞哦! ()
随机图文
-
织梦dedecms获取缩略图的高度和宽度
某些瀑布流的代码要求图片必须带有高度,而织梦默认的缩略图仅仅是储存的图片路径,想要输出图片的高度就必须用别的办法,目前我只想到用getimagesize这个函数了 -
dedecms网站被黑的原因分析
关于dedecms织梦网站被黑的情况分析下原因。如果是虚拟主机,那么就需要在控制面板里或者ftp里设置下权限。 -
织梦dedecms提示信息标题修改文件路径
有些朋友因为一些需要想要修改DEDECMS的提示信息标题,但是不知道是在哪里修改代码号小编告诉大家:在include里的common.func.php中 -
织梦cms模板文章没有上传图片自动插入百度/谷歌广告的方法
织梦模板中文章如没有上传图片自动插入百度/谷歌广告的方法,使文章页显示更一致和美观,同时还能增加收入 方法如下:
留言与评论 (共有 条评论) |