Dedecms 模板中心

您现在的位置: 秀站网 > 织梦大学 > 织梦安全 >

织梦DEDECMS防范投票模块SQL注入垃圾信息

来源:重庆时时彩独胆技巧 发布时间:2015-09-14热度: ℃我要评论
由于织梦(dedecms)是开源程序漏洞也是比较多的,但是由于漏洞问题,可以说使用这款程序建站的站长朋友们无时不在担忧被挂马,攻击,挂黑链等。小编之前也写了一些关于织梦被入侵的一些防范文...

本文地址:http://www.helaal.com/dedecms_aq/674.html
文章摘要:织梦DEDECMS防范投票模块SQL注入垃圾信息_织梦安全_织梦大学,束装盗金歧视圣母玛利,纪念章旋生旋灭咬定。

由于织梦(dedecms)是开源程序漏洞也是比较多的,但是由于漏洞问题,可以说使用这款程序建站的站长朋友们无时不在担忧被挂马,攻击,挂黑链等。小编之前也写了一些关于织梦被入侵的一些防范文章总结。因为只要是被挂马了不只是挂在一个文件中,模板,后台等都会被挂,今天又遇到了一种挂马的方法,那就是通过SQL注入。

那么是如何注入的呢?留心的站长们会发现在首页文章的最下面一般会有一个对文章进行投票的模块图标,当我们打开投票模块代码的时候发现投票模块代码没有对用户提交过来的SQL参数进行转义。这就导致了入侵者有机可乘了。作为一个程序员而言在开发的时候都会使用addslashes()函数对用户提交过来的数据进行转义操作,那么在这个模块代码中该如何进行转义呢?下面小编就来详细的讲解下方法吧。
 
首先根据路径找到/include/dedevote.class.php文件,使用一款编辑软件打开。
查找以下代码:
$this->dsql->ExecuteNoneQuery("UPDATE`xiuzhanwang_vote`SET totalcount='".($this->VoteInfos['totalcount']+1)."',votenote='".addslashes($items)."' WHERE aid='".$this->VoteID."'");

替换为:
$this->dsql->ExecuteNoneQuery("UPDATE`xiuzhanwang_vote`SET totalcount='".($this->VoteInfos['totalcount']+1)."',votenote='".mysql_real_escape_string($items)."' WHERE aid='".mysql_real_escape_string($this->VoteID)."'");
其实也就是addslashes()改为mysql_real_escape_string()对模块投票提交过来的数据进行转义后再向数据库提交,这样转义之后就会把例如逗号,双引号全部转义成单斜杠了。这样就可以有效的防范投票的时候被SQL注入的风险了。

本文地址:http://www.helaal.com/dedecms_aq/674.html

    时时彩计划123rj.net 时时彩平台搭建 时时彩五星不定位教程 零零分期 重庆时时彩组三玩法
    内蒙古时时彩平台 哪个时时彩平台可靠 时时彩平台改单网 时时彩平台招代理1950 帝豪时时彩娱乐平台
    开时时彩平台赚钱 重庆时时彩规律破解 久游时时彩平台 时时彩人工发群计划 时时彩福少软件手机版
    福彩内蒙古时时彩视屏 手机时时彩软件哪个好 时时彩软件天助手 时时彩官网网址 时时彩采集开奖号制作