刚做的网站上线后收不到了,网站建设模块,丝印网版制作,企业法人查询免费前些日子#xff0c;服务器阿里云监控报警#xff0c;有文件木马文件#xff0c;因为非常忙#xff0c;就没及时处理#xff0c;直接删除了木马文件了事。
谁知#xff0c;这几天对方又上传了木马文件。好家伙#xff0c;今天不花点时间修复下#xff0c;你都传上瘾了…前些日子服务器阿里云监控报警有文件木马文件因为非常忙就没及时处理直接删除了木马文件了事。
谁知这几天对方又上传了木马文件。好家伙今天不花点时间修复下你都传上瘾了。 首先看下NGINX日志看看它是从哪里传上来的。用全局查找发现对方是用这个 /module/ueditor/php/action upload.php?actionuploadfile 路径。一看这不是百度富文本的漏洞嘛。 接着我去看了所使用的版本1.4.3。 下载了一份代码查看它也有文件类型检查但他是怎么不生效的呢 是不是文件类型允许然而并没有。允许的文件类型如下。 接着我看了这到它有一个controller.php是去读取config.json。也就是说它绕过了controller.php直接请求了上传文件。 知道了问题点那就修复一下吧。代码如下 上传测试了下可用够用。
