Sine安全-网络安全背后的巨人,提供服务器安全_服务器维护_网站安全解决方案

metinfo 漏洞 上传代码不严谨导致远程SQL注入漏洞



        2018年11月23日SINE网站安全检测平台,检测到MetInfo最新版本爆出高危漏洞,危害性

较大,影响目前MetInfo 5.3版本到最新的 MetInfo 6.1.3版本,该网站漏
洞产生的主要原因是

MetInfo的上传代码里的参数值没有进行安全过滤,导致上传
路径这里进行伪造路径,并可以

插入恶意的代码,以及特殊字符进行上传图片到
MetInfo的后台。
 
 
MetInfo也叫米拓企业网站建站系统,是目前大多数企业网站使用的一个建站系统,整个系统采用

的是php+mysql数据库作为基础架构,支持多功能语言版本以及
html静态优化,可视化简单操

作,可以自己定义编写API接口,米拓官方提供免费
的模板供企业网站选择、网站加速,补丁在

线升级,移动端自适应设计,深受广大
建站公司的喜欢。
 
 
metinfo 漏洞详情利用与metinfo 漏洞修复
 
目前最新的版本以及旧的版本,产生漏洞的原因以及文件都是图片上传代码里的一些代码以及参

数值导致该漏洞的产生,在上传图片中,远程保存图片功能参数里可
以对传入的远程路径值得函

数变量进行修改与伪造,整个metinfo系统并没有对该
变量值进行严格的检查,导致攻击者可以利

用SQL注入代码进行攻击,我们来测试
代码,www.*****.com/?%23.png加了百分比符合可以绕

过远程上传图片的安全过滤
,metinfo后台会向目标网址进行请求下载,进而造成漏洞攻击。
 
 
metinfo漏洞修复建议:

该网站漏洞,SINE安全已提交报告给metinfo官方,官方并
没有给与积极的回应。官方也没有更新

关于该metinfo漏洞的补丁,建议企业网站
对上传代码这里进行注释,或者对上传的图片格式进行

服务器端的安全过滤与检测
,尤其GET,POST的请求方式进行检测上传特征码。也可以对图片上

传的目录进行脚
本权限的控制,取消执行权限,以及PHP脚本执行权限。
分享:

相关推荐