阿里提示Discuz uc.key泄露导致代码注入漏洞uc.php的解决方法

这个问题难道都不解决的吗？
已经更新到最新的还是报discuz中的/api/uc.php存在代码写入漏洞。

真是如此

4,6楼方法可以的。我刚用了，阿里云不报警了

ali  太不是东西了。

已修复，不错！

阿里为了钱，检测代码只以他自己的为准

约285行：
view sourceprint?
01
function updateapps($get, $post) {
02
    if(!API_UPDATEAPPS) {
03
        return API_RETURN_FORBIDDEN;
04
    }
05
    //$UC_API = $post['UC_API'];
06
    //dz官网修复uc-key漏洞。以下加上
07
    $UC_API = '';
08
    if($post['UC_API']) {
09
        $UC_API = str_replace(array('\'', '"', '\\', "\0", "\n", "\r"), '', $post['UC_API']);
10
        unset($post['UC_API']);
11
    }
12
    //end

-------------------------

加上代码 当时提示可以，  过两天 又提示有漏洞。。

真是如此

已经是最新版的了，昨天随便给uc.php文件加个空格提交替换后，阿里云提示已修复，今天又提示有这个漏洞

-------------------------

已换成官方最新版，查看了下上面两处地方也都修改了的，依旧会报错，所以怀疑是阿里云以自己的修改作为标准答案

请问你们是怎么解决的有，我查看自己的代码和上面说改过后的是一样的啊，但阿里云还是提示漏洞。如何办，直接忽略吗?

-------------------------

阿里云只是以自己的为标准答案？

上面的方法确定能行么？

文件路径：bbs/api/uc.php

修复方式：
1. 查找 updatebadwords 函数：
function updatebadwords($get, $post){
    // ...
    // 添加: 约241行    
    // Discuz uc.key泄露导致代码注入漏洞
    if(substr($v['findpattern'], 0, 1) != '/' || substr($v['findpattern'], -3) != '/is') {
        $v['findpattern'] = '/' . preg_quote($v['findpattern'], '/') . '/is';
    }
    // -- end : 2016-08-22 --
    
    $data['findpattern'][$k] = $v['findpattern'];
    // ...
}

2. 查找 updateapps 函数：
function updateapps($get, $post) {
    // ...
    // 修改: 约280行
    $UC_API = '';
    if($post['UC_API']) {
        // $UC_API = $post['UC_API']; // 注释
        $UC_API = str_replace(array('\'', '"', '\\', "\0", "\n", "\r"), '', $post['UC_API']);
        unset($post['UC_API']);
    }
    // ...
}

楼上并没有说明修改结果啊，我的代码跟楼上提供的一模一样，还是提示有漏洞。

if(!API_UPDATEBADWORDS) {
            return API_RETURN_FORBIDDEN;
        }

        $data = array();
        if(is_array($post)) {
            foreach($post as $k => $v) {        
//dz uc-key
      if(substr($v['findpattern'], 0, 1) != '/' || substr($v['findpattern'], -3) != '/is') {
         $v['findpattern'] = '/' . preg_quote($v['findpattern'], '/') . '/is';
      }
//end            
                $data['findpattern'][$k] = $v['findpattern'];
                $data['replace'][$k] = $v['replacement'];
            }
        }
function updateapps($get, $post) {
        global $_G;

        if(!API_UPDATEAPPS) {
            return API_RETURN_FORBIDDEN;
        }
                
//$UC_API = $post['UC_API'];
//dz uc-key
        $UC_API = '';
        if($post['UC_API']) {
            $UC_API = str_replace(array('\'', '"', '\\', "\0", "\n", "\r"), '', $post['UC_API']);
            unset($post['UC_API']);
        }
//end
        $cachefile = DISCUZ_ROOT.'./uc_client/data/cache/apps.php';
修改兩處！

一键修复需要购买的吧
如果是免费的就没有一键修复的啊

云盾一键修复就好。

-------------------------

嗯。却是需要付费。

-------------------------

这个貌似是每日定时检测的吧。

-------------------------

介个，我帮你反馈给管理看看。