主页 > 公告 > 文章浏览

今日安全:2018-12-20 网站安全报告(我们修复了一个注入漏洞)

   2018-12-22 01:15

今天是2018年12月20日,距离2019年还有11天。

我们在日常巡查网站的时候发现后端获取评论的API接口存在一个巨巨巨大的SQL注入漏洞!

当然,别担心,我们已经修复啦~(不然我们怎么可能会放出来呢?)

作为一个搜索关键字都是攻击代码的网站,我深知本站一直处在水深火热之中。

DEDECMS漏洞层出不穷,我们也只能做到尽量修复……

但是,这个评论接口是我自己写的,所以hhh

(这个锅就别给DEDE推了哈)


嗯,我们修复了的,源码可以放出来啦——


出错的原因是,没有判断$_GET['aid']的值是否合法,直接代入SQL指令进行查询,这是个典型的注入漏洞哈。


修复方法很简单,随便找个地方插一句:

if(!is_numeric($aid)){p(-403,'注入漏洞');}

就好啦~就是这么简单的啦——


PS:这之前有几句代码很重要哦,因为上面那句是没法直接拿来用的~

$aid=@$_GET['aid'];
function p($code='0',$msg='Unknown Error.'){
    return json_encode(array("code"=>$code,"msg"=>$msg));
}


漏洞2

这不算危害性的,但是也是个BUG

未登录状态下,可以直接点赞评论!!!

已修复这个bug,现在未登录状态点赞会报错10002.


BUG3

这不算漏洞,是小BUG

未登录状态下,发送评论提示“正文为空”而不是“未登录”

已修复。

发送评论
加载中
投稿者

你觉得怎么样?

详细信息

分区:公告
TAG:

不来一份手机APP嘛~

手机APP浏览资源更加快捷!