久艹视频免费看,亚洲成av人综合在线观看,51久久夜色精品国产水果派解说,gogo全球大胆高清人体444

知識學(xué)堂
  • ·聯(lián)系電話:+86.023-75585550
  • ·聯(lián)系傳真:+86.023-75585550
  • ·24小時手機:13896886023
  • ·QQ 咨 詢：361652718 513960520
當(dāng)前位置 > 首頁 > 知識學(xué)堂 > 常見技術(shù)問題
記事狗設(shè)計缺陷導(dǎo)致可以刪除網(wǎng)站任意圖片
更新時間：2012-04-22 | 發(fā)布人：本站 | 點擊率：425 次
路徑處理不當(dāng)導(dǎo)致注冊用戶可以刪除網(wǎng)站上的任意圖片
 
詳細說明：
 
注冊一個用戶，登錄后點擊上傳頭像，比如地址為：
http://www.badguest.cn /jishigou30s/index.php?mod=settings&code=face
在最后面加上&temp_face=././images/noavatar.gif 再訪問，然后我的頭像那塊就會加載這個圖片，直接點擊下面的“確認”，頭像木有修改成功，但是noavatar.gif這個文件卻被刪掉了。
漏洞證明：
 
隨便找個記事狗的站就可以證明了。（圖片需要有可寫權(quán)限）
修復(fù)方案：
 
對于前臺輸入的路徑都進行強制判斷并過濾
 
由于網(wǎng)站在上傳頭像完成時刪除臨時文件的判斷不嚴(yán)格，造成此漏洞，感謝反饋，已經(jīng)提供相應(yīng)修復(fù)補丁，并更新相關(guān)下載。
 
相關(guān)文章