魔扣科技

网站迁移到阿里云之后，一直提示有一个漏洞，如下：

漏洞名称：dedecms后台文件任意上传漏洞

补丁文件：media_add.php

漏洞描述：dedecms早期版本后台存在大量的富文本编辑器，该控件提供了一些文件上传接口，同时dedecms对上传文件的后缀类型未进行严格的限制，这导致了黑客可以上传WEBSHELL，获取网站后台权限。




修改这个漏洞也是很简单，主要是文件/dede/media_add.php或者/你的后台名字/media_add.php的修改。



解决方法：

1、打开dede/media_add.php文件，找到第69行或者搜索代码：


$fullfilename = $cfg_basedir.$filename;

修改为：


if (preg_match('#.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) { ShowMsg("你指定的文件名被系统禁止！",'javascript:;'); exit(); } $fullfilename = $cfg_basedir.$filename;

修改文件前请做好文件备份，将新的media_add.php文件上传替换阿里云服务器上即可解决此问题。

xaagrpb

在时间的驿站，许一个心愿叫永远；在心灵的港湾，寄一份希望叫真挚。在这个网络的世界，魔扣源码论坛，我会用一份真正的友情和你一起渡过，我们的情谊将伴着真挚到永远。

飞天舞

祝福是一季的花香，漫过山谷笼罩您；祝福是无边的关注，溢满双眼直到心底。在魔扣源码论坛这里，送上不变的心愿：祝您健康快乐每一天！

mwhokq

真正的朋友，无所谓远近，无所谓性别，也许朋友近在咫尺，也许朋友远在天涯。只要缘相知，心相惜，魔扣源码论坛上的朋友彼此拥有一份美好，彼此关照，这份相知，相助，相契，就是人间最温暖，最惬意，最畅快，最美好的意境，就是人间最真挚的感动！

xgoogwg

浓浓的情谊，传递着博友的真诚。相互的问候，温暖着快乐的人生。博客的相识，不仅仅是缘分，更是一首交流的乐曲！愿幸福常在您身边，愉悦常在彼此心间！魔扣源码论坛祝博友周末快乐！

xthiixe

真心的祝福你：开心每一天，快乐每一刻，好运永远与你相伴！真诚希望你每一个今天都过得幸福！魔扣源码论坛更希望你每一个明天都能比今天还快乐！

qFupJvuM

你喜欢的人也喜欢你，你想念的人也正在想念你。这就是全世界最重要的事情，拿什么都不能换。',

sunlight

楼下的接上

163

确实不错，顶先