亚洲精品久久久久久一区二区,亚洲乱码av中文一区二区,欧美性猛交╳xxx乱大交,成人h动漫精品一区二区,亚洲熟女综合色一区二区三区

知識(shí)學(xué)堂
  • ·聯(lián)系電話:+86.023-75585550
  • ·聯(lián)系傳真:+86.023-75585550
  • ·24小時(shí)手機(jī):13896886023
  • ·QQ 咨 詢：361652718 513960520
當(dāng)前位置 > 首頁 > 知識(shí)學(xué)堂 > 常見技術(shù)問題
記事狗設(shè)計(jì)缺陷導(dǎo)致可以刪除網(wǎng)站任意圖片
更新時(shí)間：2012-04-22 | 發(fā)布人：本站 | 點(diǎn)擊率：468 次
路徑處理不當(dāng)導(dǎo)致注冊(cè)用戶可以刪除網(wǎng)站上的任意圖片
 
詳細(xì)說明：
 
注冊(cè)一個(gè)用戶，登錄后點(diǎn)擊上傳頭像，比如地址為：
http://www.badguest.cn /jishigou30s/index.php?mod=settings&code=face
在最后面加上&temp_face=././images/noavatar.gif 再訪問，然后我的頭像那塊就會(huì)加載這個(gè)圖片，直接點(diǎn)擊下面的“確認(rèn)”，頭像木有修改成功，但是noavatar.gif這個(gè)文件卻被刪掉了。
漏洞證明：
 
隨便找個(gè)記事狗的站就可以證明了。（圖片需要有可寫權(quán)限）
修復(fù)方案：
 
對(duì)于前臺(tái)輸入的路徑都進(jìn)行強(qiáng)制判斷并過濾
 
由于網(wǎng)站在上傳頭像完成時(shí)刪除臨時(shí)文件的判斷不嚴(yán)格，造成此漏洞，感謝反饋，已經(jīng)提供相應(yīng)修復(fù)補(bǔ)丁，并更新相關(guān)下載。
 
相關(guān)文章