域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過(guò)

2018年11月23日SINE網(wǎng)站安全檢測(cè)平臺(tái)，檢測(cè)到MetInfo最新版本爆出高危漏洞，危害性較大，影響目前MetInfo 5.3版本到最新的 MetInfo 6.1.3版本，該網(wǎng)站漏洞產(chǎn)生的主要原因是MetInfo的上傳代碼里的參數(shù)值沒(méi)有進(jìn)行安全過(guò)濾，導(dǎo)致上傳路徑這里進(jìn)行偽造路徑，并可以插入惡意的代碼，以及特殊字符進(jìn)行上傳圖片到MetInfo的后臺(tái)。

MetInfo也叫米拓企業(yè)網(wǎng)站建站系統(tǒng)，是目前大多數(shù)企業(yè)網(wǎng)站使用的一個(gè)建站系統(tǒng)，整個(gè)系統(tǒng)采用的是php+mysql數(shù)據(jù)庫(kù)作為基礎(chǔ)架構(gòu)，支持多功能語(yǔ)言版本以及html靜態(tài)優(yōu)化，可視化簡(jiǎn)單操作，可以自己定義編寫(xiě)API接口，米拓官方提供免費(fèi)的模板供企業(yè)網(wǎng)站選擇、網(wǎng)站加速，補(bǔ)丁在線升級(jí)，移動(dòng)端自適應(yīng)設(shè)計(jì)，深受廣大建站公司的喜歡。

metinfo 漏洞詳情利用與metinfo 網(wǎng)站漏洞修復(fù)

目前最新的版本以及舊的版本，產(chǎn)生漏洞的原因以及文件都是圖片上傳代碼里的一些代碼以及參數(shù)值導(dǎo)致該漏洞的產(chǎn)生，在上傳圖片中，遠(yuǎn)程保存圖片功能參數(shù)里可以對(duì)傳入的遠(yuǎn)程路徑值得函數(shù)變量進(jìn)行修改與偽造，整個(gè)metinfo系統(tǒng)并沒(méi)有對(duì)該變量值進(jìn)行嚴(yán)格的檢查，導(dǎo)致攻擊者可以利用SQL注入代碼進(jìn)行攻擊，我們來(lái)測(cè)試代碼，www*****com/?%23.png加了百分比符合可以繞過(guò)遠(yuǎn)程上傳圖片的安全過(guò)濾，metinfo后臺(tái)會(huì)向目標(biāo)網(wǎng)址進(jìn)行請(qǐng)求下載，進(jìn)而造成漏洞攻擊。

metinfo漏洞修復(fù)建議：

該網(wǎng)站漏洞，SINE安全已提交報(bào)告給metinfo官方，官方并沒(méi)有給與積極的回應(yīng)。官方也沒(méi)有更新關(guān)于該metinfo漏洞的補(bǔ)丁，建議企業(yè)網(wǎng)站對(duì)上傳代碼這里進(jìn)行注釋?zhuān)蛘邔?duì)上傳的圖片格式進(jìn)行服務(wù)器端的安全過(guò)濾與檢測(cè)，尤其GET,POST的請(qǐng)求方式進(jìn)行檢測(cè)上傳特征碼。也可以對(duì)圖片上傳的目錄進(jìn)行腳本權(quán)限的控制，取消執(zhí)行權(quán)限，以及PHP腳本執(zhí)行權(quán)限。

本文來(lái)源：www.sinesafe.com

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！