360协助PHPCMS修复V9版SQL注入漏洞

作者: 来源: 2012-12-14 10:06:38 阅读 我要评论 直达商品

  乐购科技 日前,360网站安全检测平台独家发现PHPCMSV9版“注入”漏洞,并将漏洞信息通报PHPCMS官方,协助其快速推出补丁。据360网站安全检测平台分析,此前所有使用PHPCMSV9搭建的网站均存在SQL注入漏洞,可能使黑客利用漏洞篡改网页、窃取数据库,甚至控制服务器。鉴于该漏洞影响严重,360已第一时间向网站安全检测用户发出告警邮件,360网站卫士也增加了防护规则。

  360网站安全检测平台服务网址:http://webscan.360.cn

  360独家发现的PHPCMSV9漏洞:http://bbs.webscan.360.cn/forum.php?mod=viewthread&tid=481

  PHPCMSV9版于2010年推出,是应用较为广泛的建站工具。第三方数据显示,目前使用PHPCMSV9搭建的网站数量多达数十万个,包括联合国儿童基金会等机构网站,以及大批企业网站均使用PHPCMSV9搭建和维护。

  乐购网了解(www.lgo100.com)据360安全工程师分析,SQL注入漏洞存在于PHPCMSV9版本(包括GBK和UTF8版)的poster_click函数,攻击者可以控制HTTP_REFERER(header的一部分),将REFERER值直接带入数据库,而且不受magic_quotes_gpc()控制,这导致SQL注入漏洞的产生。

  图1:黑客可控制HTTP_REFERER语句实施SQL注入

  经过对PHPCMS官方DEMO站点的测试,利用漏洞,攻击者可以构造SQL语句对DEMO网站的MySQL数据库进行查询,并能够实施“拖库”,甚至将数据库所在服务器变为傀儡主机。

  图2:官方的DEMO站点测试结果

  图3:构造SQL语句查询网站的MySQL数据库版本,甚至可以导致网站数据库被拖库

  由于全部PHPCMSV9用户均受漏洞影响,360网站安全工程师强烈建议用户立刻下载PHPCMSV9官方于12月11日推出的全新升级程序。或者,用户也可以下载360网站安全检测提供的防护脚本,能够快速修复漏洞防御黑客攻击。

  PHPCMSV9官方安全更新:http://download.phpcms.cn/v9/9.0/patch/

  360网站安全检测防护脚本:http://webscan.360.cn/down/php360.zip

  关于360网站安全服务

  360为站长提供免费的网站安全解决方案,包括360网站安全检测平台和360网站卫士:

  360网站安全检测平台是国内首个集网站漏洞检测、网站挂马监控、网站篡改监控于一体的免费检测平台,拥有全面的网站漏洞库及蜜罐集群检测系统,能够第一时间协助网站检测修复漏洞;

  360网站卫士则为站长免费提供网站防火墙、DDOS保护、CC保护、智能DNS解析、盗链保护、页面压缩、缓存加速和永久在线等服务。分享/17bianji.com)


  推荐阅读

  360SyScan火热进行 微软专家称Office2013将不支持XP

12月13日,360SyScan国际安全会议(http://www.syscan360.org/)首次在北京举行。微软Office安全测试负责人TomGallagher发表《新版Office中的安全工程和产品改进》主题演讲,与参会者分享新版Office的安全特性改进。>>>详细阅读


本文标题:360协助PHPCMS修复V9版SQL注入漏洞

地址:http://www.lgo100.com/a/11/20121214/88492.html

乐购科技部分新闻及文章转载自互联网,供读者交流和学习,若有涉及作者版权等问题请及时与我们联系,以便更正、删除或按规定办理。感谢所有提供资讯的网站,欢迎各类媒体与乐购科技进行文章共享合作。

网友点评
我的评论: 人参与评论
验证码: 匿名回答
网友评论(点击查看更多条评论)
友情提示: 登录后发表评论,可以直接从评论中的用户名进入您的个人空间,让更多网友认识您。
自媒体专栏

评论

热度