织梦DEDECMS防范投票模块SQL注入垃圾信息

bucuo123

   

织梦DEDECMS防范投票模块SQL注入垃圾信息 由于织梦（dedecms）是开源程序漏洞也是比较多的，但是由于漏洞问题，可以说使用这款程序建站的站长朋友们无时不在担忧被挂马，攻击，挂黑链等。小编之前也写了一些关于织梦被入侵的一些防范文章总结。因为只要是被挂马了不只是挂在一个文件中，模板，后台等都会被挂，今天又遇到了一种挂马的方法，那就是通过SQL注入。 那么是如何注入的呢？留心的站长们会发现在首页文章的最下面一般会有一个对文章进行投票的模块图标，当我们打开投票模块代码的时候发现投票模块代码没有对用户提交过来的SQL参数进行转义。这就导致了入侵者有机可乘了。作为一个程序员而言在开发的时候都会使用addslashes()函数对用户提交过来的数据进行转义操作，那么在这个模块代码中该如何进行转义呢？下面小编就来详细的讲解下方法吧。 首先根据路径找到/include/dedevote.class.php文件，使用一款编辑软件打开。 查找以下代码： $this->dsql->ExecuteNoneQuery("UPDATE`xiuzhanwang_vote`SET totalcount='".($this->VoteInfos['totalcount',+1)."',votenote='".addslashes($items)."' WHERE aid='".$this->VoteID."'"); 替换为： $this->dsql->ExecuteNoneQuer...

   

内容已隐藏,请关注公众号输入验证码查看

               
验证码 

  

本帖支持关注公众号查看

【无套路  无套路  无套路 扫描二维码关注公众号发送【验证码】收到验证码 在上面输入点击提交查看即可显示隐藏内容】