php网站漏洞检测对sql注入漏洞防护-低调大师

php网站漏洞检测对sql注入漏洞防护

2019-04-07 533

近日，我们SINE安全对metinfo进行网站安全检测发现，metinfo米拓建站系统存在高危的sql注入漏洞，攻击者可以利用该漏洞对网站的代码进行sql注入攻击，伪造恶意的sql非法语句，对网站的数据库，以及后端服务器进行攻击，该metinfo漏洞影响版本较为广泛，metinfo6.1.0版本，metinfo 6.1.3版本，metinfo 6.2.0都会受到该网站漏洞的攻击。

metinfo建站系统使用的PHP语言开发，数据库采用的是mysql架构开发的，在整体的网站使用过程中，简单易操作，可视化的对网站外观进行设计，第三方API接口丰富，模板文件较多，深受企业网站的青睐，建站成本较低可以一键搭建网站，目前国内使用metinfo建站的网站数量较多，该metinfo漏洞会使大部分的网站受到攻击影响，严重的网站首页被篡改，跳转到其他网站，以及网站被劫持跳转到恶意网站上，包括网站被挂马，快照被劫持等情况都会发生。

关于该metinfo漏洞的分析，我们来看下漏洞产生的原因：

该漏洞产生在member会员文件夹下的basic.php代码文件：

metinfo独有的设计风格，使用了MVC框架进行设计，该漏洞的主要点在于使用了auth类的调用方式，在解码加密过程的算法中出现了问题，我们再来看下代码：

通常加密，以及解密的算法是不可以可逆的，但是metinfo写的代码可以进行伪造函数值进行逆算，我们看这个构造的恶意函数，这里的key值是从前端met_webkeys值里进行获取，将获取到的webkeys值进行写入，并赋值到配置文件里，config目录下的config_safe.php代码里。我们通过查看这个代码，发现写入的值没有办法进行PHP脚本的执行，本来以为可是伪造key值进行写入木马，发现行不通，但是在这个伪造key值的过程可以进行sql注入攻击，采用是延时注入方式进行攻击，GET请求，以及post请求方式，cookies方式都可以sql注入成功，下面我们来测试下Sql注入：

GET请求的方式进行注入：

GET /admin/index.php?n=user&m=web&c=register&a=doemailvild HTTP/1.1

Cookie:

p=00c7%2FDBwD23b41olxVCthTvDDTRBhldmrrdyA8S3t%2F3yAl4QZ0P%2FSfOS5zlB

把具体的SQL注入语句放到 cookie中进行攻击，我们发现注入成功了。上面这个注入普通用户访问即可成功。下面这个注入方式需要用户登录权限，注册一个普通账户，然后抓取cookies值进行伪造sql注入语句掺杂到cookies里，进行注入，代码如下:

/admin/index.php?n=user&m=web&c=profile&a=dosafety_emailadd HTTP/1.1

Cookie: p=497cD9UpkDtsvFzU9IKNlPvSyg1z%2bf09cmp8hqUeyJW9ekvPfJqx8cLKFSHr;<

自己抓取当前登录会员的cookie值>

关于metinfo漏洞的修复建议，以及安全方案

目前metinfo最新版本发布是2019年3月28日，6.2.0版本，官方并没有针对此sql注入漏洞进行修复，建议网站的运营者对网站的后台地址进行更改，管理员的账号密码进行更改，更改为数字+字符+大小写的12位以上的组合方式，对网站的配置文件目录进行安全限制，去掉PHP脚本执行权限，如果自己对代码不是太熟悉，建议找专业的网站安全公司来处理修复漏洞，国内SINE安全，以及绿盟，启明星辰，都是比较不错的网站漏洞修复公司。

微信关注我们

原文链接：https://yq.aliyun.com/articles/697086

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

java B2B2C Springboot电子商城系统-高可用的服务注册中心

文章介绍了服务注册与发现，其中服务注册中心Eureka Server，是一个实例，当成千上万个服务向它注册的时候，它的负载是非常高的，这在生产环境上是不太合适的，这篇文章主要介绍怎么将Eureka Server集群化。一、准备工作 Eureka can be made even more resilient and available by running multiple instances and asking them to register with each other. In fact, this is the default behaviour, so all you need to do to make it work is add a valid serviceUrl to a peer, e.g. 摘自官网 Eureka通过运行多个实例，使其更具有高可用性。事实上，这是它默认的熟性，你需要做的就是给对等的实例一个合法的关联serviceurl。这篇文章我们基于第一篇文章的工程，来做修改。二、改造工作在eureka-server工程中resources文件夹下...

2019-04-08

569

阅读本文大概需要 14 分钟。本文系作者:『Scott』原创发布于慕课网。我，Scott，一家创业公司的 CTO。从业6年却很少写文章，近一年来接触了几十个刚毕业的前端新人，也面试了100多个前端工程师和Nodejs工程师，对于前端发展的这个职业算是有些感触吧，打算陆续写一些从业经验也好，技术分享也好，对自己前6年的经历做一些文字上的沉淀。此篇文章谨献给工作0 ~ 3年的前端工程师，内容都是我的亲身经历，不精彩但接地气。 2010年毕业于一所普通211大学，电气学院自动化专业，了解这个专业的大概知道自动化是弱电方向，就业高不成低不就，不读研仅靠本科的技术积累很难进入好单位，而我又是那种一进大学就迷失自我的 “逃课生”，四年逃课挂科无数，不仅荒废了专业，也虚度了青春，彼时年少而又轻狂，骄傲却不知路在何方，唯一的收获是大一便早早的搞定了老婆，恋爱8年后领了证，认识到现在已经整整10年，所以说码农恋爱要趁早啊。以上是典型的屌丝工科男背景介绍。。。。。。如下的一切，都源自毕业实习到了杭州钢铁集团，说是实习其实是见习，带着安全帽到各个生产线上看看钢材生产流程做个笔记，仅此而已。初到杭...

2019-04-08

586

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。