PHPCMS漏洞之a(chǎn)uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露
Nov 21, 2019 am 09:47 AM
關(guān)於phpcms authkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩漏的修復(fù)問(wèn)題
簡(jiǎn)介： 漏洞名稱(chēng)：phpcms authkey生成算法問(wèn)題導(dǎo)致authkey泄露 補(bǔ)丁文件：caches/configs/system.php 補(bǔ)丁來(lái)源：云盾自研 漏洞描述：phpcms在安裝時(shí)，由于在同一個(gè)頁(yè)面中連續(xù)使用mt_rand()，未進(jìn)行有效mt_srand();種子隨機(jī)化操作，導(dǎo)致authkey 存在泄漏風(fēng)險(xiǎn)，黑客可利用該漏洞猜解出網(wǎng)站authkey進(jìn)而入侵網(wǎng)站。【注意：該補(bǔ)丁修復(fù)后會(huì)自動(dòng)修改您網(wǎng)站配置文件中的 auth_key和phpsso_auth_key，并且只會(huì)運(yùn)行一次，修復(fù)期間會(huì)有部分用戶(hù)訪問(wèn)的cookies失效導(dǎo)致需要登錄網(wǎng)站，除此無(wú)其他 影響，可放心升級(jí)】 … 阿里云漏洞提示。
線上解決方案：
1、在/caches/configs/system.php，增加第一個(gè)參數(shù)：
'alivulfix' => 'yes',
修改後，程式碼截圖如下：
uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露 "PHPCMS漏洞之a(chǎn)uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露")
2、找到並修改auth_key，20位元字串；具體寫(xiě)什麼，自訂即可。
'auth_key' => '2qKYgs0PgHWWtaFVb3KP', //密鑰
3、找到並修改auth_key，32位元字串；具體寫(xiě)什麼，自訂即可。
'phpsso_auth_key' => 'hjor66pewop_3qooeamtbiprooteqein', //加密密鑰
注意：到了這一步，跟阿里雲(yún)的雲(yún)騎士一鍵修復(fù)是一樣的了。
只是網(wǎng)站使用者暫時(shí)都登入不了，接下來(lái)還有最重要的一步。
4、後臺(tái)登入phpsso管理中心，在導(dǎo)覽選單phpsso ——> 應(yīng)用程式管理－> 編輯中，編輯「通訊金鑰」為第3步驟設(shè)定的'phpsso_auth_key'的值，然後點(diǎn)擊提交。
關(guān)鍵步驟截圖如下：
uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露 "PHPCMS漏洞之a(chǎn)uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露")
提交之後，頁(yè)面顯示通訊成功，如下圖。
uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露 "PHPCMS漏洞之a(chǎn)uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露")
5、最後，額外去測(cè)試登入。
你會(huì)發(fā)現(xiàn)，網(wǎng)站可以登入了，而且阿里雲(yún)後臺(tái)關(guān)於「phpcms authkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩漏」的提示也都消失了。
阿里雲(yún)回饋，截圖如下：
uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露 "PHPCMS漏洞之a(chǎn)uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露")
如果，你先修改的是本機(jī)檔案：
（1）將修改好的文件，上傳到伺服器對(duì)應(yīng)文件位置，直接覆蓋；
（2）接著操作上文第4、5步，即可。
（3）最後，登入阿里雲(yún)後臺(tái)，點(diǎn)選驗(yàn)證(截圖如下)，即可完成漏洞修復(fù)。
uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露 "PHPCMS漏洞之a(chǎn)uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露")
以上就是關(guān)於「phpcms authkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩漏」漏洞修復(fù)的全部?jī)?nèi)容。
PHP中文網(wǎng)，大量的免費(fèi)PHPCMS教學(xué)，歡迎線上學(xué)習(xí)！
以上是PHPCMS漏洞之a(chǎn)uthkey產(chǎn)生演算法問(wèn)題導(dǎo)致authkey洩露的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門(mén)文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開(kāi)發(fā)環(huán)境
Dreamweaver CS6
視覺(jué)化網(wǎng)頁(yè)開(kāi)發(fā)工具
SublimeText3 Mac版
神級(jí)程式碼編輯軟體(SublimeText3)
Java中的緩衝區(qū)溢位漏洞及其危害
Aug 09, 2023 pm 05:57 PM
Java中的緩衝區(qū)溢位漏洞及其危害緩衝區(qū)溢位是指當(dāng)我們向一個(gè)緩衝區(qū)寫(xiě)入超過(guò)其容量的資料時(shí)，會(huì)導(dǎo)致資料溢位到其他記憶體區(qū)域。這種溢出行為常常被駭客利用，可以導(dǎo)致程式碼執(zhí)行異常、系統(tǒng)崩潰等嚴(yán)重後果。本文將介紹Java中的緩衝區(qū)溢位漏洞及其危害，同時(shí)給出程式碼範(fàn)例以幫助讀者更好地理解。 Java中廣泛使用的緩衝區(qū)類(lèi)別有ByteBuffer、CharBuffer、ShortB
如何解決PHP語(yǔ)言開(kāi)發(fā)常見(jiàn)的文件上傳漏洞？
Jun 10, 2023 am 11:10 AM
在Web應(yīng)用程式的開(kāi)發(fā)中，文件上傳功能已經(jīng)成為了基本的需求。這個(gè)功能允許使用者向伺服器上傳自己的文件，然後在伺服器上進(jìn)行儲(chǔ)存或處理。然而，這個(gè)功能也使得開(kāi)發(fā)者更需要注意一個(gè)安全漏洞：檔案上傳漏洞。攻擊者可以透過(guò)上傳??惡意檔案來(lái)攻擊伺服器，從而導(dǎo)致伺服器遭受不同程度的破壞。 PHP語(yǔ)言作為廣泛應(yīng)用於Web開(kāi)發(fā)中的語(yǔ)言之一，檔案上傳漏洞也是常見(jiàn)的安全性問(wèn)題之一。本文將介
phpcms怎麼跳到詳情頁(yè)
Jul 27, 2023 pm 05:23 PM
phpcms跳到詳情頁(yè)方法：1、使用header函數(shù)來(lái)產(chǎn)生跳轉(zhuǎn)連結(jié)；2、循環(huán)遍歷內(nèi)容清單；3、取得內(nèi)容的標(biāo)題和詳情頁(yè)連結(jié)；4、產(chǎn)生跳轉(zhuǎn)連結(jié)即可。
20步內(nèi)越獄任意大模型！更多「奶奶漏洞」全自動(dòng)發(fā)現(xiàn)
Nov 05, 2023 pm 08:13 PM
不到一分鐘、不超過(guò)20步，任意繞過(guò)安全限制，成功越獄大型模型！而且不必知道模型內(nèi)部細(xì)節(jié)－只需要兩個(gè)黑盒子模型互動(dòng)，就能讓AI全自動(dòng)攻陷AI，說(shuō)出危險(xiǎn)內(nèi)容。聽(tīng)說(shuō)曾經(jīng)紅極一時(shí)的“奶奶漏洞”已經(jīng)被修復(fù)了:如今，面對(duì)“偵探漏洞”、“冒險(xiǎn)家漏洞”和“作家漏洞”，人工智能應(yīng)該採(cǎi)取何種應(yīng)對(duì)策略呢？一波猛攻下來(lái)，GPT-4也遭不住，直接說(shuō)出要給供水系統(tǒng)投毒只要…這樣那樣。關(guān)鍵這只是賓州大學(xué)研究團(tuán)隊(duì)曬出的一小波漏洞，而用上他們最新開(kāi)發(fā)的演算法，AI可以自動(dòng)產(chǎn)生各種攻擊提示。研究人員表示，這種方法相比於現(xiàn)有的
Java中的逗號(hào)運(yùn)算子漏洞和防護(hù)措施
Aug 10, 2023 pm 02:21 PM
Java中的逗號(hào)運(yùn)算子漏洞和防護(hù)措施概述：在Java程式設(shè)計(jì)中，我們經(jīng)常使用逗號(hào)運(yùn)算子來(lái)同時(shí)執(zhí)行多個(gè)操作。然而，有時(shí)我們可能會(huì)忽略逗號(hào)運(yùn)算子的一些潛在漏洞，這些漏洞可能導(dǎo)致意外的結(jié)果。本文將介紹Java中逗號(hào)運(yùn)算子的漏洞，並提供對(duì)應(yīng)的防護(hù)措施。逗號(hào)運(yùn)算子的用法：逗號(hào)運(yùn)算子在Java中的語(yǔ)法為expr1,expr2，可以說(shuō)是一種序列運(yùn)算子。它的作用是先計(jì)算ex
OpenAI DALL-E 3 模型存產(chǎn)生'不當(dāng)內(nèi)容”漏洞，一微軟員工上報(bào)後反遭'封口令”
Feb 04, 2024 pm 02:40 PM
2月2日消息，微軟軟體工程部門(mén)經(jīng)理ShaneJones最近發(fā)現(xiàn)OpenAI旗下的DALL-E3模型存在漏洞，據(jù)稱(chēng)可以產(chǎn)生一系列不適合內(nèi)容。 ShaneJones向公司報(bào)了該漏洞，但卻被要求保密。然而，他最終還是決定向外界透露了這個(gè)漏洞。 ▲圖源ShaneJones對(duì)外揭露的報(bào)告本站注意到，ShaneJones在去年12月透過(guò)獨(dú)立研究發(fā)現(xiàn)OpenAI文字產(chǎn)生圖片的DALL-E3模型存在一項(xiàng)漏洞。這個(gè)漏洞能夠繞過(guò)AI護(hù)欄（AIGuardrail），導(dǎo)致產(chǎn)生一系列NSFW不當(dāng)內(nèi)容。這個(gè)發(fā)現(xiàn)引起了廣泛關(guān)注
phpcms是什麼框架
Apr 20, 2024 pm 10:51 PM
PHP CMS 是一種基於 PHP 的開(kāi)源內(nèi)容管理系統(tǒng)，用於管理網(wǎng)站內(nèi)容，其特點(diǎn)包括易用性、強(qiáng)大功能、可擴(kuò)充性、安全性高和免費(fèi)開(kāi)源。它可以節(jié)省時(shí)間、提升網(wǎng)站品質(zhì)、增強(qiáng)協(xié)作並降低開(kāi)發(fā)成本，廣泛應(yīng)用於新聞網(wǎng)站、部落格、企業(yè)網(wǎng)站、電子商務(wù)網(wǎng)站和社群論壇等各種網(wǎng)站。
微信登入整合指南：PHPCMS實(shí)戰(zhàn)
Mar 29, 2024 am 09:18 AM
標(biāo)題：微信登入整合指南：PHPCMS實(shí)戰(zhàn)在今日的網(wǎng)路時(shí)代，社群化登入已成為網(wǎng)站必備的功能之一。微信作為國(guó)內(nèi)最受歡迎的社群平臺(tái)之一，其登入功能也被越來(lái)越多的網(wǎng)站所採(cǎi)用。本文將介紹如何在PHPCMS網(wǎng)站中整合微信登入功能，並提供具體的程式碼範(fàn)例。第一步：註冊(cè)微信開(kāi)放平臺(tái)帳號(hào)首先，我們需要在微信開(kāi)放平臺(tái)上註冊(cè)一個(gè)開(kāi)發(fā)者帳號(hào)，申請(qǐng)對(duì)應(yīng)的開(kāi)發(fā)權(quán)限。登入[微信開(kāi)放平臺(tái)]
