国产精品免费一区二区三区四区_久久午夜无码鲁丝片_国产香蕉尹人视频在线_欧美人妻久久精品_加勒比色综合久久久久久久久_成人午夜污污在线观看网站_97超碰人人做人人爱欧美_国语自产偷拍精品视频偷拍_玖玖资源站亚洲最大的网站_日本三级在线播放线观看视频

安全公告編號:CNTA-2017-0025

近日，國家信息安全漏洞共享平臺（CNVD）收錄了PHP存在任意文件上傳漏洞（CNVD-2017-04180）。遠(yuǎn)程攻擊者可利用前臺注冊功能上傳任意圖片木馬文件，獲得網(wǎng)站的控制權(quán)限。

一、漏洞情況分析

PHPCMS采用PHP5+MYSQL做為技術(shù)基礎(chǔ)進(jìn)行開發(fā)，是一款網(wǎng)站建站系統(tǒng)，該系統(tǒng)采用模塊化開發(fā)，支持多種分類方式，使用它可方便實現(xiàn)個性化網(wǎng)站的設(shè)計、開發(fā)與維護(hù)。

?PHPCMS V9.6 WAP模塊對前臺用戶上傳的文件擴(kuò)展名過濾不嚴(yán)，導(dǎo)致存在任意文件上傳漏洞，遠(yuǎn)程攻擊者通過注冊功能，使用#截斷繞過對文件擴(kuò)展名的驗證，上傳一個偽造成圖片的腳本文件獲取網(wǎng)站的webshell。

CNVD對該漏洞的綜合評級為“高危”。

二、漏洞影響范圍

漏洞影響開啟WAP模塊且開放前臺注冊功能的PHPCMS V9.6版本。

三、漏洞修復(fù)建議

目前官方暫未發(fā)布任何補丁，CNVD建議用戶關(guān)注廠商主頁，及時等待更新。

針對開啟WAP模塊且開放前臺注冊功能用戶，臨時防護(hù)建議：

1.打開文件/phpcms/libs/classes/attachment.class.php

在第166行后加上如下代碼：

if(!preg_match("/($ext)/i", $filename)) continue:

2.使用第三方WEB防火墻（WAF）對網(wǎng)站進(jìn)行全面的安全防護(hù)。

附：參考鏈接：

http://0day5.com/archives/4368/?

http://www.cnvd.org.cn/flaw/show/CNVD-2017-04180