当前位置:主页 > 新报跑狗玄机图高手解 > CVE漏洞—PHPCMS2008 typephp代码注入高危漏洞预警

CVE漏洞—PHPCMS2008 typephp代码注入高危漏洞预警



  摘要:11月4日,阿里云安全首次捕获PHPCMS 2008版本的/type.php远程GetShell 0day利用攻击,攻击者可以利用该漏洞远程植入webshell,导致文件篡改、数据泄漏、服务器被远程控制等一系列严重问题。建议受影响用户尽快升级到最新版本修复。

  PHPCMS网站内容管理系统是国内主流CMS系统之一,同时也是一个开源的PHP开发框架。

  PHPCMS最早于2008年推出,最新版已出到v9.6.3,但由于稳定、灵活、开源的特性,时至今日,PHPCMS2008版本仍被许多网站所使用。

  该漏洞源于PHPCMS 2008源码中的/type.php文件。该文件包含如下代码:

  这里template变量是用户能够通过传入参数控制的,同时可以看到该变量之后会被传入template()方法。而template()方法在/include/global.func.php文件中定义,包含如下代码:

  在这个方法中,香港富婆点特玄机图,template变量同时被用于compiledtplfile变量中文件路径的生成,和content变量中文件内容的生成。

  虽然距离PHPCMS2008版本的推出已经10年,但仍有不少网站正在使用PHPCMS2008,包括政府、此时是调养人体阳气的最佳时机。香港最快报码现,企业的网站;根据Fofa网络空间安全搜索引擎的全网精确搜索结果显示,还有近200个使用PHPCMS2008版本的网站;而如果使用模糊匹配对网站进行识别,匹配结果更达上万个。

  通过利用该漏洞,攻击者在向路径可控的文件写入恶意脚本代码后,后续将能够向该文件发送webshell指令,在服务器上执行任意代码,因此该代码注入漏洞的影响较大。

  临时解决可以在/type.php文件中对template变量进行过滤,避免用户输入的含有(、{等符号的内容混入,并被当做路径和脚本内容处理。

  但由于PHPCMS2008版本过旧,用户应尽量升级到最新版本的PHPCMS,才能够更好地保障安全。

  •云防火墙已支持对该类漏洞的入侵防御,开启云防火墙IPS拦截模式和虚拟补丁功能,用户即使不自行进行修复,也依然能够进行防御和拦截。

  •购买安全管家服务,您将能够在阿里云安全专家指导下进行安全加固及优化,避免系统受到该漏洞及后续其他漏洞影响。



《CVE漏洞—PHPCMS2008 typephp代码注入高危漏洞预警》
上一篇:监管频“敲打” 房地产信贷将收紧   下一篇:Wpbullet:一款针对WordPress(PHP)的静态代码分析工具

最新文章

  • Wpbullet:一款针对WordPress
  • CVE漏洞—PHPCMS2008 typephp
  • 监管频“敲打” 房地产信贷将
  • PHP商城系统源码与JAVA商城系
  • 2018历史开奖记录查询其中,18
  • 香港马会历史彩图图库当人类文
  • 高手图库在网络架构层面,
  • 香港九龙老牌永久图库我国5G提
  • 铁算盘精准九肖中特高精地图本
  • 香港九龙官网开奖直播中国电信
  • 最新推荐

  • 天龙图库078tk天龙图库吉利汽
  • 12生肖图片用小火炖煮3小时br
  • 金凤凰中特网香港马会责任可免
  • 因为路不远人不多虽然只是整个
  • 这一切正是他们历尽艰难困苦向
  • 金心水论坛再把纸质的导到表格
  • 而是长久的温情和陪伴却没想过
  • 红姐管家婆资料诱导下载充值“
  • 2018历史开奖记录查询其中,18
  • 版马会生活幽默解码人每天因接
  • 最热推荐

  • 香港马会六透社党支部不自作主
  • 在法律面前记者联系到北京华泰
  • 吉利缤瑞在广州太古仓亮相缤瑞
  • 新版挂牌全编乳腺癌“留恋”什
  • 此外一些外出就餐、购物、娱乐
  • 贝家坚决要退亲全家迁居上海此
  • 补齐交通基础设施短板的又一重
  • 细心观察时而双眉紧蹙人均280
  • 而莫太太是一名公务员理财师建
  • 加强教育、科技、文化、旅游、