dedecms common.inc.php SESSION变量覆盖导致SQL注入

Dedecms 前端之家
前端之家收集整理的这篇文章主要介绍了dedecms common.inc.php SESSION变量覆盖导致SQL注入，前端之家小编觉得挺不错的，现在分享给大家，也给大家做个参考。

Dedecms SESSION变量覆盖导致sql注入common.inc.PHP的解决方法：

补丁文件：/include/common.inc.PHP

漏洞描述：Dedecms的/plus/advancedsearch.PHP中，直接从SESSION[SESSION[sqlhash]获取值作为$query带入SQL查询，这个漏洞的利用前提是session.auto_start = 1即开始了自动SESSION会话，云盾团队在dedemcs的变量注册入口进行了通用统一防御，禁止SESSION变量的传入

Dedecms SESSION变量覆盖导致sql注入common.inc.PHP的解决方法

1、搜索如下代码（68行）：

if( strlen($svar)>0 && preg_match('#^(cfg_|GLOBALS|_GET|_POST|_COOKIE)#',$svar) )
 



	2、替换 68 行代码，替换代码如下：




				
if( strlen($svar)>0 && preg_match('#^(cfg_|GLOBALS|_GET|_POST|_COOKIE|_SESSION)#',sans-serif; font-size: 14px; text-indent: 2em;">
	修改前请备份好文件，将新的/include/common.inc.PHP 文件上传替换阿里云服务器上的即可解决此问题。

 
            
            
            

            
上一篇：dedecms模版soft_add.phpSQL注入漏洞修复方法 

            
下一篇：阿里云服务器提示media_add.php dedecms后台文件任意上传漏洞修复方法 

            

      

      
                 
              
            
          
          
          
          

            

              




            

          


          

            

              

                  
    
猜你在找的Dedecms相关文章



                                    
DedeCMS信息发布员发布文章错误Error page的问题

                                
用信息发布员写文章出现如下错误。

                                
                                
                            



                                    
帝国 Ecms 6.0 排行榜的调用方法总结

                                
A.首先要说明，目前排行调用实现的是：一周（一月，一年）内新增的信息，按点击排行的调用...

                                
                                
                            



                                    
DedeCms基础教程：基本类文件介绍

                                
DedeCms基本的类文件说明
(这里只说明 include 或其它目录一些重要的inc 文件，至于模块或...

                                
                                
                            



                                    
DedeCMS5.7在问答模块中限制仅能管理员回答问题

                                
一些使用Dedecms建站的同学开通了问答模块，但是由于会员注册控制的不好，导致了垃圾问题信...

                                
                                
                            



                                    
dede5.5增加滚动公告或站内新闻办法

                                
本站使用一直使用的是dede5.5在这里也非常感谢织梦科技,因为确实不错!!加上自己增加的一些...

                                
                                
                            







                                    
DedeCMS教程：arclist的分页使用方法

                                
DedeCMS教程：arclist的分页使用方法，转载织梦技术论坛。希望对大家有所帮助。
<scrip...

                                
                                
                            



                                    
SupeSite头部(header)默认模板样式解析

                                
网(LieHuo.Net)教程 我们以默认模板为例分析一下其模板样式，SupeSite 7.0 默认模板的样式...

                                
                                
                            



                                    
如何修改DedeCMS文章页评论显示数量

                                
网(LieHuo.Net)教程 关于DedeCMS文章页评论显示数量的修改问题，看到很多朋友需要，我就把...

                                
                                
                            



                                    
Supesite7.0 转换导入phpcms 2008 sp3的方法

                                
前些天，写了一个php脚本用于supesite7.0导入phpcms2008：
<?php /* supesite7.0导入ph...

                                
                                
                            



                                    
PHPCMS首页GET调用标签会员积分与头像前十名

                                
网(LieHuo.Net)教程 GET标签首页调用会员积分前十名排行包含头像

增加方法： 


    
   ...

                                
                                
                            







            

          

        
        
        
        
        

          
          

            

              

                
                
wordpressDedecmsphpcmsDiscuz帝国CMS

                

              

            

          

          
         
          

            

              
 



              

            

          

          
          
          
          

            

              

                
                
              

            

          

          


          
          

            

              

                
                
dedecms怎么换更新dedecms手dedecms怎么让dedecms301重dedecms如何做dedecms网站改dedecms设置行dedecms的全局dedecms备份mdedecms网站搬dedecms更换默dedecms模板修dedecms配置文dedecms转移dedecms缓存dedecms数据表dedecms分页cdedecms水印如何在dedecmdedecms密码dedecms版权标dedecms编辑器dedecms如何播dedecms备份网dedecms添加4dedecms采集dedecms站群文档列表dedecms中id怎DedeCMS提示中