阿里云提示織夢后臺文件media_add.php任意上傳漏洞解決辦法
來源：本站原創(chuàng)|時(shí)間：2021-08-05|欄目：dedecms|點(diǎn)擊： 次
漏洞描述：
dedecms早期版本后臺存在大量的富文本編輯器，該控件提供了一些文件上傳接口，同時(shí)dedecms對上傳文件的后綴類型未進(jìn)行嚴(yán)格的限制，這導(dǎo)致了黑客可以上傳WEBSHELL，獲取網(wǎng)站后臺權(quán)限?！咀⒁猓涸撗a(bǔ)丁為云盾自研代碼修復(fù)方案，云盾會(huì)根據(jù)您當(dāng)前代碼是否符合云盾自研的修復(fù)模式進(jìn)行檢測，如果您自行采取了底層/框架統(tǒng)一修復(fù)、或者使用了其他的修復(fù)方案，可能會(huì)導(dǎo)致您雖然已經(jīng)修復(fù)了該漏洞，云盾依然報(bào)告存在漏洞，遇到該情況可選擇忽略該漏洞提示】
下面跟大家分享一下這個(gè)漏洞的修復(fù)方法：
首先找到并打開后臺管理dede目錄下的media_add.php文件，在里面找到如下代碼：
$fullfilename = $cfg_basedir.$filename;
在其上面添加一段如下代碼：
if (preg_match('#\.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))){
ShowMsg("你指定的文件名被系統(tǒng)禁止！",'java script:;');
exit();
}
上一篇：織夢dedecms圖集多縮略圖模式調(diào)用縮略圖
欄 目：dedecms
下一篇：織夢高級搜索結(jié)果頁advancedsearch.htm如何調(diào)用channel標(biāo)簽
本文標(biāo)題：阿里云提示織夢后臺文件media_add.php任意上傳漏洞解決辦法
本文地址：http://mengdiqiu.com.cn/a1/dedecms/16765.html
您可能感興趣的文章
- 08-05修改織夢Dedecms跳轉(zhuǎn)提示信息的方法
- 08-05dedecms提示“內(nèi)存錯(cuò)誤，下載解壓版base_dic_full.dic”解決辦法
- 08-05織夢后臺生成網(wǎng)站時(shí)，提示/templets/default/index.htm Not Foun
- 08-05DEDECMS安裝和訪問提示(PHP 5.3 and above) Please XX的解決辦法
- 08-05織夢dedecms發(fā)文章上傳圖片提示：Upload filetype not allow 的
- 08-05織夢上傳圖片彈出提示302的解決辦法
- 08-05dedecms織夢上傳圖片失敗 ERROR:Copy Uploadfile Error! 提示
- 08-05織夢dedecms更新緩存提示/data/cache/inc_catalog_base.inc沒有
- 08-05織夢dedecms更新緩存提示/data/cache/inc_catalog_base.inc沒有
