PrestaShop 网站漏洞详情与漏洞修复办法

简介: PrestaShop网站的漏洞越来越多,该网站系统是很多外贸网站在使用的一个开源系统,从之前的1.0初始版本到现在的1.7版本,经历了多次的升级,系统使用的人也越来越多,国内使用该系统的外贸公司也很多,PrestaShop扩展性较高,模板也多,多种货币自由切换,并支持信用卡以及paypal支付,是外贸网站的首选。就在最近几天,PrestaShop被爆出有远程代码注入漏洞,该漏洞影响范围较光,危害较大,可以上传webshell到网站根目录下。

PrestaShop网站的漏洞越来越多,该网站系统是很多外贸网站在使用的一个开源系统,从之前的1.0初始版本到现在的1.7版本,经历了多次的升级,系统使用的人也越来越多,国内使用该系统的外贸公司也很多,PrestaShop扩展性较高,模板也多,多种货币自由切换,并支持信用卡以及paypal支付,是外贸网站的首选。就在最近几天,PrestaShop被爆出有远程代码注入漏洞,该漏洞影响范围较光,危害较大,可以上传webshell到网站根目录下。

u=30583387,2893708002&fm=173&app=49&f=JPEG.jpg

2018年11月7号PrestaShop官方发布了最新的版本,并修复了网站的漏洞,其中包含了之前被爆出的文件上传漏洞,以及恶意删除图片文件夹的漏洞,该漏洞的利用条件是需要有网站的后台管理权限。


这次发现的PrestaShop漏洞,是远程代码注入漏洞,漏洞产生的代码如下在后台的admin-dev目录下filemanager文件里的ajax_calls.php代码,这个远程的注入漏洞是后台处理上传文件的功能导致的,代码里的getimagesize()函数是获取图片地址的一个函数,该函数使用了php反序列化,这个反序列化存在远程调用的一个功能,就是在这个功能里存在远程代码注入与执行,我们构造恶意的注入代码对其图片代码提交就会执行我们的代码,我们来演示一下,首先搭建一台linux服务器,并搭建好apache+mysql数据库的环境,拷贝PrestaShop代码到服务器中,进行安装,并调试可以打开。


u=2619801925,778994545&fm=173&app=49&f=JPEG.jpg


我们来尝试一下如何利用该漏洞,在后台admin-rename目录下的filemanager文件夹dialog.php的文件,进行调用,这个页面就是控制上传文件,上传图片的,使用action可以对上传的参数进行安全控制,我们可以构造代码执行,admin-rename/filemanager/execute.php?action=rename_folder,post的方式进行提交,发送数据到这个文件代码里,利用PHP的反序列化就可以自动的解析代码,达到远程代码注入执行的效果。


PrestaShop网站漏洞修复与办法


升级PrestaShop的版本到最新版本,设置php.ini的解析功能为off具体是phar.readonly=off,这里设置为关闭,对网站的上传功能加强安全过滤,过滤非法参数的插入,对网站的漏洞代码进行功能性的注释。


相关文章
|
网络安全 数据安全/隐私保护
【网络安全 | Crypto】hidden key 江苏工匠杯
【网络安全 | Crypto】hidden key 江苏工匠杯
393 0
【网络安全 | Crypto】hidden key 江苏工匠杯
|
弹性计算 负载均衡 监控
防御DDoS攻击:策略与技术深度解析
【6月更文挑战第12天】本文深入探讨了防御DDoS攻击的策略和技术。DDoS攻击通过僵尸网络耗尽目标系统资源,特点是分布式、高流量和隐蔽性。防御策略包括监控预警、流量清洗、负载均衡、弹性伸缩及灾备恢复。技术手段涉及IP信誉系统、深度包检测、行为分析、流量镜像与回放及云防护服务。综合运用这些方法能有效提升抗DDoS攻击能力,保障网络安全。
|
存储 消息中间件 数据挖掘
数据仓库的深度探索与实时数仓应用案例解析
大数据技术的发展,使得数据仓库能够支持大量和复杂数据类型(如文本、图像、视频、音频等)。数据湖作为一种新的数据存储架构,强调原始数据的全面保留和灵活访问,与数据仓库形成互补,共同支持企业的数据分析需求。
|
自然语言处理
Ollama部署本地模型
Ollama 是一个用于本地部署大型语言模型的平台。首先关闭 ollama 服务,在环境变量中设置 `OLLAMA_MODELS` 为目标模型路径,`OLLAMA_ORIGINS` 为 `"*"`,重启服务和 VSCode。启动服务 `ollama serve`,运行 `ollama run codegeex4`。配置插件接口地址为 `http://localhost:11434/v1/chat/completions`,并在模型名称处填入 `codegeex4` 启用高级模式。可能需优化下载速度并解决其他问题。
1274 4
LXJ
|
安全 关系型数据库 Linux
PostgreSQL通过pg_upgrade进行大版本升级
PostgreSQL通过pg_upgrade进行大版本升级
LXJ
3369 0
|
12月前
|
安全 Shell 网络安全
文件上传漏洞(四)edjpgcom
文件上传漏洞(四)edjpgcom
|
Java Linux 数据安全/隐私保护
CTF — 图像隐写三板斧
CTF — 图像隐写三板斧
1038 1
|
运维 安全 网络安全
2023-2024年广东省职业院校技能大赛信息安全管理与评估赛项规程
2023-2024年广东省职业院校技能大赛信息安全管理与评估赛项规程
2023-2024年广东省职业院校技能大赛信息安全管理与评估赛项规程
|
运维 Cloud Native 应用服务中间件
阿里云微服务引擎 MSE 及 API 网关 2024 年 07 月产品动态
阿里云微服务引擎 MSE 面向业界主流开源微服务项目, 提供注册配置中心和分布式协调(原生支持 Nacos/ZooKeeper/Eureka )、云原生网关(原生支持Higress/Nginx/Envoy,遵循Ingress标准)、微服务治理(原生支持 Spring Cloud/Dubbo/Sentinel,遵循 OpenSergo 服务治理规范)能力。API 网关 (API Gateway),提供 APl 托管服务,覆盖设计、开发、测试、发布、售卖、运维监测、安全管控、下线等 API 生命周期阶段。帮助您快速构建以 API 为核心的系统架构.满足新技术引入、系统集成、业务中台等诸多场景需要。
|
负载均衡
网工配置命令基础总结(2)----VRRP配置
网工配置命令基础总结(2)----VRRP配置
1003 0