DownPlus 安全補(bǔ)丁 2008-12-12 附修改方法

2019-11-02 17:04:11

字體：大中小

供稿：網(wǎng)友

*可能造成的危害:

因?yàn)閝uery.asp的此漏洞不涉及到數(shù)據(jù),故不會(huì)對(duì)數(shù)據(jù)造成危害,但惡意用戶可能會(huì)構(gòu)造一個(gè)特殊URL,并誘導(dǎo)其他用戶(比如站點(diǎn)的管理

員)去訪問(wèn)這個(gè)URL,從而獲得該用戶的敏感信息(如Cookies),或是將用戶跳轉(zhuǎn)到含有木馬的頁(yè)面,使這個(gè)用戶中木馬.請(qǐng)不要隨意訪問(wèn)

來(lái)歷不明或含有特殊字符的URL.

補(bǔ)丁適合版本: DownPlus 2.2 ACCESS/MSSQL

點(diǎn)此下載補(bǔ)丁:http://bbs.DownPlus.com/index.php?s=&showtopic=2846&view=findpost&p=10084

* 定制版本請(qǐng)不要使用這個(gè)補(bǔ)丁,定制版本的補(bǔ)丁會(huì)另外通過(guò)郵件發(fā)送,如在24小時(shí)內(nèi)未收到,請(qǐng)聯(lián)系QQ16958797

過(guò)期用戶或2.1及之前的版本請(qǐng)手動(dòng)修復(fù):

* 首先用記事本或EDITPLUS等文本編輯軟件打開(kāi)query.asp文件

第一步:搜索

Request.QueryString("t")

替換為

left(trim(Request.QueryString("t")),1)

說(shuō)明:1.9之后的版本共有2處,1.9之前版本只有一處,請(qǐng)使用文本編輯器的替換功能,手動(dòng)修改的話請(qǐng)注意不要改錯(cuò),比如找到的代碼是

m_QueryType = lcase(Request.QueryString("t"))

那么替換后應(yīng)該是

m_QueryType = lcase(left(trim(Request.QueryString("t")),1))

第二步:搜索

Request.QueryString("class")

找到這段代碼的所在行,然后在這行下面添加下面的代碼

If sClassID<>"" And IsNumeric(sClassID) Then

sClassID = Clng(sClassID)

Else

sClassID = ""

End If

如,找到代碼的這行為 sClassID = Trim(Request.QueryString("class"))

那么修改后就應(yīng)該是:

sClassID = Trim(Request.QueryString("class"))

If sClassID<>"" And IsNumeric(sClassID) Then

sClassID = Clng(sClassID)

Else

sClassID = ""

End If

說(shuō)明:1.8及之前的版本沒(méi)有這段代碼,無(wú)需修改

===========================================================================================

* 什么是跨站腳本漏洞?

所謂跨站腳本漏洞其實(shí)就是Html的注入問(wèn)題，惡意用戶的輸入沒(méi)有經(jīng)過(guò)嚴(yán)格的控制的參數(shù)，最終顯示給來(lái)訪的用戶，導(dǎo)致可以在來(lái)訪

用戶的瀏覽器里以瀏覽用戶的身份執(zhí)行HTml代碼

上一篇：DEDE隔行變色以及分組加線修改方法

下一篇：Dedecms 后臺(tái)驗(yàn)證碼錯(cuò)誤的解決方法

學(xué)習(xí)交流

索泰發(fā)布一款GTX 1070 Mini迷你版本:小機(jī)

索泰發(fā)布一款GTX 1070 Mini迷你版本:小機(jī)箱大愛(ài)...

熱門圖片

猜你喜歡的新聞

猜你喜歡的關(guān)注