| 主题: 使用KindEditor4.0版本时被黑客攻破 |
| 作者: Zigzag, 发布日期: 2012-06-07 11:16:24, 浏览数: 4250 |
|
大家请看这个帖子： http://www.devilscafe.in/2012/01/kindedior-remote-file-upload-exploit.html 不知道到底的原理是什么，这个案例网站正好是我的站点。今天发现在Kindeditor的attached文件夹下上传了很多黑客的页面， 虽然没有破坏什么，但是占了很大的空间，我使用的wamp系列，xp系统，请管理员解答一下，是如何攻破的。 |
| 作者: Zigzag, 发布日期: 2012-06-07 11:28:02 |
|
在Kindeditor文件夹下的example里被黑客加入了一个uploadbutton.html文件，代码如下：
<script>
KindEditor.ready(function(K) {
var uploadbutton = K.uploadbutton({
button : K('#uploadButton')[0],
fieldName : 'imgFile',
url : '../php/upload_json.php?dir=file',
afterUpload : function(data) {
if (data.error === 0) {
var url = K.formatUrl(data.url, 'absolute');
K('#url').val(url);
} else {
alert(data.message);
}
}
});
uploadbutton.fileBox.change(function(e) {
uploadbutton.submit();
});
});
</script>
</head>
<body>
<input type="text" id="url" value="" readonly="readonly" /> <input type="button" id="uploadButton" value="Upload" />
</body>
黑客是怎么把这个自己的文件上传到KindEditor目录下的呢。 |
| 回复 |
| 作者: 小浪子, 发布日期: 2012-06-07 12:30:22 |
|
不是被黑客黑了。官方下载的都有这个文件。你说的example这个文件夹中是示例文件。
你不需要可以删除。一般网站都删除了这个文件夹。 |
| 回复 |
| 作者: Roddy, 发布日期: 2012-06-07 13:20:45 |
|
因为文件允许上传HTML，下一个版本将对这个进行改进，后端程序默认不允许使用。 |
| 回复 |
| 作者: Zigzag, 发布日期: 2012-06-07 13:34:09 |
|
回复小浪子：官方的examples文件夹下是没有uploadbutton.html这个文件的，这个文件是黑客加入进来的。 所有其他的文件又是通过访问uploadbutton.html这个页面，使用KindEditor的文件上传功能上传到我的服务器的。
问题是，uploadbutton.html是黑客怎么加进来的。 |
| 回复 |
| 作者: Zigzag, 发布日期: 2012-06-07 13:35:10 |
|
回复Roddy：目前有什么解决方案呢。
|
| 回复 |
| 作者: 狼魂, 发布日期: 2012-06-07 14:25:33 |
|
回复Zigzag：给你三个解决方案如下
提供者：狼魂博客[http://pjiaxu.com/] |
| 回复 |
| 作者: Roddy, 发布日期: 2012-06-07 17:44:31 |
|
回复Zigzag：自己修改 upload_json.xxx，就是实现上传功能而已，比如，你只需要上传图片的话，验证扩展名，还有更严格的话可以检查文件内容，判断是不是图片。还有文件单独放在没有执行权限的目录下，设置POST最大限制。
|
| 回复 |
