您现在的位置是:首页 > 站长新闻站长新闻
网站漏洞如何修复jeecms网站程序呢?
2021-01-13【站长新闻】人已围观
简介jeecms 最近被爆出高危网站漏洞,可以导致网站被上传webshell木马文件,受影响的版本是jeecms V6.0版本到jeecmsV7.0版本。该网站系统采用的是JAVA语言开发,数据库使用的是oracle,mysql,sql数据库,服
jeecms 最近被爆出高危网站漏洞,可以导致网站被上传webshell木马文件,受影响的版本是jeecms V6.0版本到jeecmsV7.0版本。该网站系统采用的是JAVA语言开发,数据库使用的是oracle,mysql,sql数据库,服务器系统支持windows2008,windows2012,以及linux centos系统。
我们来简单的了解下什么是jeecms系统,该系统主要是针对内容文章管理的一个系统,支持微信,以及公众号,移动电脑端自适应的模板系统,开发强大,安全,稳定,优化好,很多程序文件夹做了详细的安全权限分配,禁止直行java脚本文件,jeecms可以全站生成静态文件html,可视化的前端外观设计,丰富的第三方API接口,使得该系统深受广大建站爱好者的喜欢。
jeecms 网站漏洞分析
jeecms漏洞发生的原因是在于网站的上传功能,存在可以绕过安全拦截,直接将jsp格式的网站木马文件上传到服务器中去,由于该上传组件含有远程调用图片链接的功能,导致调用的是并没有做详细的安全过滤,没有限制远程图片的格式,导致可以将任意格式的文件上传到网站当中去。我们来看下代码:
当我们使用远程调用图片功能的时候,会使用前端的upfile函数去调用,然后经过separate的安全分隔符来进行确认文件的格式,导致没有任何的安全验证就可以上传文件,导致网站漏洞的发生。
我们本地电脑搭建下环境,java+mysql环境,apache,使用官方下载的V7版本,我们本地构造上传的页面代码如下:
enctype="multipart /form-data">
然后将我们远程图片链接地址写上,http://127.0.0.1:8080/webshell.jsp点提交直接绕过Jeecms的安全检测系统,上传成功,远程图片抓取成功的提示,在上传过程中会直接返回文件的地址路径。
jeecms 网站漏洞修复与建议
目前通过搜索查询到使用jeecms的网站达到上万个,使用该jeecms建站的网站运营者,请尽快升级网站系统到最新版V9版本,自己公司技术有限的,请将远程上传图片功能去掉,ueditor目录下的getRemoteImage.jspx文件删除掉,或者更名,如果自己对代码不是太熟悉话,也可以找专业的网站安全公司处理。
很赞哦! ()
下一篇:归类影响网页排序的几个重要因素
相关文章
随机图文
-
网站建设中,空间设计类网站要怎样建设?
空间设计可以看作比建筑设计小的概念,建筑设计注重外在的设计,空间设计注重内里的设计。在当今时代,很多行业都会利用互联网去进行传播,这个行业当然也不例外,现在有很多空间设计类的网站,那么空间设计类的网站要如何去建设的?网站建设的小编今天为大家找 -
进行SEO网站建设时需要注意哪些细节?
最近一些刚开始从事SEO职业的朋友询问,做一个新网站前期在SEO布局上要注意哪些因素?针对网站的SEO切入点在哪里?于是小编花费了一点时间整理了一下思路,针对新网站前期的SEO布局注意事项做下分享!网站是人们了解各类信息的重要途径,随着互联网 -
为什么有些网站不设置keywords关键词排名却很好
朋友经常问为什么有的网站不设置关键词,排名不好。为什么?为什么他们没有把关键词排名设置的那么好?关键词不是很重要,为什么不设置?让我们来谈谈搜索引擎技术的变化如今,搜索引擎 -
网络营销两大误区 企业网络推广
网络营销误区1雄心壮志,在对网络营销还不是很了解的情况下就组成自己的网络推广团队。当然一家公司有自己的网络推广团队也可以。但是网络推广跟传统推广的差异比较大。大公司原先的推广高手,到了网络上往往不服水土,而公司苦心筹建、寄予厚望的网络推广部分