怎么修复网站漏洞骑士cms的漏洞修复方案-低调大师

怎么修复网站漏洞骑士cms的漏洞修复方案

2019-01-02 612

骑士CMS是国内公司开发的一套开源人才网站系统，使用PHP语言开发以及mysql数据库的架构，2019年1月份被某安全组织检测出漏洞，目前最新版本4.2存在高危网站漏洞，通杀SQL注入漏洞，利用该网站漏洞可以获取网站的管理员账号密码以及用户账号信息.

目前很多人才网站都使用的骑士CMS系统，受影响的网站较多，关于该网站漏洞的详情我们来详细的分析一下。骑士cms4.2最新版本使用了thinkphp的架构，底层的核心基础代码都是基于thinkphp的开发代码，有些低于4.2版本的网站系统都会受到漏洞的攻击。我们来本地服务器进行搭建骑士CMS系统的环境，首先去骑士官方下载最新版本74cms_Home_Setup_v4.2.111.zip，然后安装php版本为5.4，mysql数据库安装版本为5.6，我们把网站放到D盘的默认wwwroot里，解压ZIP包到目录当中去.

然后我们进行安装，调试，使其本地127.0.0.1可以打开网站进行漏洞的测试，该漏洞的利用条件是要网站拥有一些招聘的数据，有了数据才可以进行sql注入攻击，我们在自己安装的网站里新增加了许多招聘的岗位，如下图：

我们随便注册一个商户的账号，登陆商户用户中心，然后再发布一条信息到网站的前台。我们打开测试的网站地址，看到有一条招聘信息了，我们打开来

http://127.0.0.1/index.php?m=&c=jobs&a=jobs_list&lat=21.183858&range=80&lng=225.15098* 点击之后就会

有提示，我们就可以进行注入了。如下图所示：

网站漏洞详情文件是Application目录里的Common文件夹下的Conf文件config.php代码，发现这个配置文件调用的就是job_list的类标签，这个类会把一些参数值直接赋值到$this->params里，根据这个接口我们可以插入非法的SQL注入代码，大部分的thinkphp都是可以进行注册的，包括目前最新的thinkphp5.0漏洞，都是可以远程代码执行的。

关于骑士CMS网站漏洞的修复办法，目前官方还没有公布最新的补丁，建议大家在服务器前端部署SQL注入防护，对GET、POST、COOKIES、的提交方式进行拦截，也可以对网站的后台目录进行更改，后台的文件夹名改的复杂一些，懂程序代码设计的话，建议将数值转换改为浮点型，防止二次SQL注入。网站漏洞的修补与木马后门的清除，需要很多专业的知识，也不仅仅是知识，还需要大量的经验积累，所以从做网站到维护网站，维护服务器，尽可能找专业的网站安全公司来解决问题，国内也就Sinesafe和绿盟、启明星辰等安全公司比较专业.

微信关注我们

原文链接：https://yq.aliyun.com/articles/684146

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

java B2B2C Springcloud电子商务平台源码- config 修改配置

在git端修改配置后如何让客户端生效？需要JAVA Spring Cloud大型企业分布式微服务云构建的B2B2C电子商务平台源码一零三八七七四六二六访问接口修改refreshpost方式执行http://localhost/refresh 会刷新env中的配置restart如果配置信息已经注入到bean中，由于bean是单例的，不会去加载修改后的配置需要通过post方式去执行http://localhost/restart,需要通过application.properties中配置endpoints.restart.enabled=true启动指定的端口弊端：通过restart耗时比较长，因此就有了RefreshScope RefreshScope package com.lkl.springcloud.config.client; import org.springframework.beans.factory.annotation.Value; import org.springframework.boot.SpringApplication; import org.spr...

2019-01-02

478

2019年的第一个工作日，阿里巴巴达摩院重磅发布了2019十大科技趋势，引发社会各界对未来科技的讨论和向往。这一发布同样引来科学界的普遍关注。来自包括中科院、清华大学、佛罗里达大学、杜克大学等权威学术机构的十余位专家就此发表评论，深度点评达摩院提出的观点，充分肯定达摩院在基础科研领域持续深耕的专注精神。专家普遍认为，达摩院发布的科技趋势虽然有十个方向，但都是围绕着当前科学发展的几个关键潮流，即以芯片为代表的算力、以图计算为代表的算法以及以5G为代表的连接能力。一、计算是变革的源头传统时代的计算始终在冯诺伊曼架构约束下发展，但人工智能的到来正在挑战冯诺依曼架构，而摩尔定律也接近失效，新型芯片以及新的计算机架构已经成为整个行业研究重心。达摩院认为，计算体系结构正在被重构，基于FPGA、ASIC等计算芯片的异构计算架构正在对以CPU为核

2019-01-02

703

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。