织梦cms建站教程:DedeCMS后台文件任意上传漏洞media_add.php的修复方法

  • A+
所属分类:DedeCms建站

最近,公司的网站迁移到阿里云之后,一直提示有一个漏洞需要紧急修复,如下图所示:

DedeCMS后台文件任意上传漏洞media_add.php的修复方法-马找钱博客

于是在网上查询了一番,便找到了修复方法,在此,我便借助马找钱博客的平台将修复方法分享如下:

DedeCMS后台文件任意上传漏洞media_add.php的修复方法-马找钱博客

漏洞名称:

dedecms后台文件任意上传漏洞

危险等级:

★★★★★(高危)

漏洞文件:

/dede/media_add.php

漏洞描述:

dedecms早期版本后台存在大量的富文本编辑器,该控件提供了一些文件上传接口,同时dedecms对上传文件的后缀类型未进行严格的限制,这导致了黑客可以上传WEBSHELL,获取网站后台权限。

修复方法:

修改这个漏洞也是很简单,主要是文件/dede/media_add.php 或者 /你的后台名字/media_add.php的修改。

查找并打开/dede/media_add.php文件,找到第69行或者搜索代码:

$fullfilename = $cfg_basedir.$filename;

修改为:

if (preg_match('#.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) { ShowMsg("你指定的文件名被系统禁止!",'javascript:;'); exit(); }
$fullfilename = $cfg_basedir.$filename;

如下图所示:

DedeCMS后台文件任意上传漏洞media_add.php的修复方法-马找钱博客

修改之后,上传覆盖,将新的media_add.php文件上传替换阿里云服务器上,在阿里云后台验证通过,即可解决此漏洞提示问题!

马找钱博客点评:

提醒大家一点,作为一个非资深技术人员,在修改网站文件前请先做好文件备份,以免修改错误导致无法恢复,影响网站的正常使用。

  • 我的微信
  • 技术咨询
  • weinxin
  • 微信公众号
  • 营销技巧分享
  • weinxin
马找钱

发表评论

:?::razz::sad::evil::!::smile::oops::grin::eek::shock::???::cool::lol::mad::twisted::roll::wink::idea::arrow::neutral::cry::mrgreen: