感谢网友一直关注 wellcms 并检测安全

燃烧的冰2020-03-08  337

在此表示感谢各位白帽子,非常喜欢友情检测安全,我也非常欢迎检测,只要不 D 我,怎么都行。


必定安全是相对的,完美是从残缺中蜕变出来的,技术的精进,闷着头成长也是有限的,一个人的思维总会有盲点,只有众人的思维,才能弥补个人的不足,wellcms 只有经过历练,才能变得更加完美。


另外对于注册用户 使用 burp 上传图片格式一句话的同学,请尽量下载程序到本地测试。不管你用什么方式传上来,最终只能是图片格式或是 ._* 格式的文件,无法解析运行的,burp再牛,也干不了已经写死的代码。


wellcms 所有文件全部解析到路由后执行文件,且除了根目录的路由文件外的目录都限制了运行文件。

具体安全设置请查看 http://www.wellcms.cn/read-49.html


对于用户的关心 流传的后台缩略图上传脚本问题,这个窟窿是 bate3 版本,正式版发布于2020年1月6号,都没有该问题。对于这个bug,是我大意造成的错误,我早已面壁过了。不过在正式版发布之前,我重写了很多地方,包括上传和入库过滤。


还要特别感谢某网友前几天检测并提醒的一个bug,wellcms 后台 CSRF 跨站请求伪造创建用户并修改用户组为管理员,对于这个bug确实是我忽略没有想到的,非常感谢该网友提醒,目前新版已经修复。


对于 CSRF 跨站请求伪造攻击不懂得同学,请自行百度,在此不进行科普。


最新回复(0)