热门搜索词
热门文章
-
[公告]9月13日长沙移动机房割接通知
接湖南移动运营商通知，将于北京时间2024-09-13 00:00至2024-09-13 06:00对长沙移动机房进行割接维护，涉及 IP段36.158.231.0/24 、2409:8C50:0A00:2163::/64。
-
[公告]9月13日知道创宇云防御节点更新...
为提供更好更优质的云防御服务，我们将于近期对机房节点进行优化调整，中国台湾机房将不再提供服务，涉及IP网段为168.80.175.0/24。
-
活动 | 创宇盾启航版发布——即日起可免...
身为小微企业，你是否还在为一年上万的防护服务费用发愁？ 业务好不容易有点起色，安全、合规哪哪都要投入。 别着急，你的烦恼我们感同身受，因为我们也是这样摸爬滚打一路走过来的。 每一份创业梦想都值得被精心守护！
关注知道创宇云防御
获取最新安全动态
DedeCMS曝安全漏洞 加速乐发布临时安全补丁
来源：知道创宇云防御 2013.03.29近日，国内某安全人员发布了一个“dedecms本地文件包含漏洞"，同时公布了漏洞攻击验证代码。知道创宇安全研究团队分析发现，该漏洞确实存在，是一个高危“0day”漏洞。攻击者可以通过该漏洞直接上传网站木马控制服务器，最终导致网站“脱库”、“挂马”等严重后果。截止本文发布，官方还没有发布针对该漏洞的防御补丁，知道创宇安全研究团队已积极联系官方，请各位站长密切关注官方动态。同时加速乐发布临时安全补丁（详见下），推荐各种站长启用。目前加速乐可成功防御该漏洞！
关于DedeCMS
DedeCMS基于PHP+MySQL的技术开发，支持多种服务器平台，从2004年开始发布第一个版本开始，至今已经发布了五个大版本。DedeCMS以简单、健壮、灵活、开源几大特点占领了国内CMS的大部份市场，目前已经有超过35万个站点正在使用DedeCMS或基于DedeCMS核心开发，产品安装量达到95万。是目前国内最常见的建站程序之一，也是“黑客”密切关注的对象！
官方网站：www.dedecms.com
4月2日最新消息：截止目前织梦CMS官方已经发布更新补丁，加速乐强烈建议站长朋友们及时更新补丁，确保网站安全：http://www.dedecms.com/products/dedecms/downloads/
i、修改代码如下
/include/payment/alipay.php 133行的代码：
require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
修改为：
$write_list = array('alipay', 'bank', 'cod', 'yeepay');
if (in_array($_GET['code'], $write_list)){
require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
} else {
exit('fix by knownsec.com 2013.03.29');
}
include/payment/yeepay.php 145行的代码：
require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
修改为：
$write_list = array('alipay', 'bank', 'cod', 'yeepay');
if (in_array($_REQUEST['code'], $write_list)){
require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
} else {
exit('fix by knownsec.com 2013.03.29');
}
ii、在php.ini里设置： display_errors = Offiii、推荐使用“加速乐” （www.jiasule.com） 防御漏洞。
名词解释
包含漏洞： 主要是指php语言里 include(),require()和include_once(),require_once() 四个文件包含函数在变量可控的情况下，导致攻击者可以指定包含本地或远程恶意代码文件的漏洞。所以又分为本地包含漏洞及远程包含漏洞。是一种“高危”的Web漏洞类型。可直接导致攻击者控制web主机系统，从而实现“挂马”、“脱库”等攻击。
