www.adminn.cn
站长正能量分享网!

【漏洞预警】PHPCMS V9 前台RCE漏洞预警

AD:阿里云服务器企业会员更优惠 腾讯云香港,韩国免备案服务器1.8折优惠

漏洞详情地址

https://mp.weixin.qq.com/s/zLXJtekT9O3OuzwBLigMsA

漏洞影响版本

PHPCMS v9(全版本)

发布时间

2020-08-16

历史漏洞

PHPCMS MT_RAND SEED CRACK致authkey泄露

0x01概要

漏洞名称 phpcms前台RCE
威胁等级 高危
漏洞类型 远程代码执行
发布日期 8月16日
受影响版本 PHPCMS v9(全版本)
利用条件 知道网站路径
潜在影响 接管服务器、执行服务器命令

0x02详细

PHPCMS是一款网站管理软件。该软件采用模块化开发,支持多种分类方式,使用它可方便实现个性化网站的设计、开发与维护。PHPCMS v9版本存在远程代码执行漏洞,可导致黑客获取服务器权限。PHPCMS v9修复auth_key泄露的时候使用了随机种子进行修复,但是使用随机种子的函数默认使用的是php_mt_rand函数,这个生成的随机种子函数的范围是2^32-1,数量不是特别多导致黑客可以使用服务器进行暴力破解拿到我们的auth_key。

0x03处理建议

1. 修改PHP的配置文件中的display_errors的内容,把他变成false,可以防止报错泄露绝对路径

2. 修改生成auth_key的方法,自定义与auth_key加密的字符串,这个字符串要复杂一点否则容易被爆破

自定义auth_key字符串

文件在网站目录/caches/configs/system.php

模板优惠价: (点击购买)
版权声明:本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
文章名称:《【漏洞预警】PHPCMS V9 前台RCE漏洞预警》
文章链接:https://www.adminn.cn/news/2350.html
本站资源模板仅供个人学习交流,请于下载后24小时内删除,不允许用于商业用途,否则法律问题自行承担。2021.5月起,网站调整,暂不再分享免费模板。谢谢理解

Adminn.Cn 站长分享圈

帝国CMS精品模板腾讯云优惠券,代金券

本站源码仅供本地环境下学习借鉴研究使用!

源码请勿用于任何涉灰站点!净化网络,站长更有责!

支付宝扫一扫打赏