欧美激情网,国产欧美亚洲高清,欧美屁股xxxxx,欧美群妇大交群,欧美人与物ⅴideos另类,区二区三区在线 | 欧洲

知識學堂
  • ·聯(lián)系電話:+86.023-75585550
  • ·聯(lián)系傳真:+86.023-75585550
  • ·24小時手機:13896886023
  • ·QQ 咨 詢：361652718 513960520
當前位置 > 首頁 > 知識學堂 > 常見技術(shù)問題
記事狗設(shè)計缺陷導致可以刪除網(wǎng)站任意圖片
更新時間：2012-04-22 | 發(fā)布人：本站 | 點擊率：368 次
路徑處理不當導致注冊用戶可以刪除網(wǎng)站上的任意圖片
 
詳細說明：
 
注冊一個用戶，登錄后點擊上傳頭像，比如地址為：
http://www.badguest.cn /jishigou30s/index.php?mod=settings&code=face
在最后面加上&temp_face=././images/noavatar.gif 再訪問，然后我的頭像那塊就會加載這個圖片，直接點擊下面的“確認”，頭像木有修改成功，但是noavatar.gif這個文件卻被刪掉了。
漏洞證明：
 
隨便找個記事狗的站就可以證明了。（圖片需要有可寫權(quán)限）
修復(fù)方案：
 
對于前臺輸入的路徑都進行強制判斷并過濾
 
由于網(wǎng)站在上傳頭像完成時刪除臨時文件的判斷不嚴格，造成此漏洞，感謝反饋，已經(jīng)提供相應(yīng)修復(fù)補丁，并更新相關(guān)下載。
 
相關(guān)文章