PrestaShop 웹사이트 취약점에 대한 수정 사항은 무엇입니까?

PrestaShop 웹사이트에는 허점이 점점 더 많아지고 있습니다. 이 웹사이트 시스템은 많은 외국 무역 웹사이트에서 사용되는 오픈 소스 시스템으로, 이전 초기 버전 1.0부터 현재 버전 1.7까지 많은 업그레이드를 거쳤습니다. 점점 더 많은 사람들이 이 시스템을 사용하고 있습니다. PrestaShop은 높은 확장성, 다양한 템플릿, 다양한 통화 전환 기능을 갖추고 있으며 신용 카드 및 Paypal 결제를 지원하므로 이 시스템을 가장 먼저 선택합니다. 대외 무역 웹사이트. 지난 며칠 동안 PrestaShop에 원격 코드 주입 취약점이 있다는 것이 밝혀졌습니다. 이 취약점은 상대적으로 영향이 적고 웹사이트의 루트 디렉터리에 웹셸을 업로드할 수 있습니다.

프레스타샵은 2018년 11월 7일 공식적으로 최신 버전을 출시하였고, 기존에 노출된 파일 업로드 취약점과 이미지 폴더의 악성 삭제 등 웹사이트의 취약점을 수정하였습니다. 이 취약점을 악용하기 위한 조건은 백그라운드 관리가 필요합니다. 웹사이트의 권리.

이번에 발견된 PrestaShop 취약점은 원격 코드 주입 취약점으로, 해당 취약점에 의해 생성되는 코드는 다음과 같습니다. 백그라운드의 admin-dev 디렉터리에 있는 ajax_calls.php 코드입니다. 예, 코드의 getimagesize() 함수는 PHP 역직렬화를 사용합니다. 즉, 원격 호출 기능이 있습니다. 이 함수에서 원격 코드 주입 및 실행 악성 주입 코드를 생성하고 이를 이미지 코드에 제출하면 먼저 Linux 서버를 설정하고 apache+mysql 데이터베이스 환경을 설정합니다. PrestaShop 코드를 서버에 설치하고 디버깅을 켤 수 있습니다.

이 취약점을 악용하는 방법을 시도해 보겠습니다. 백그라운드에서 admin-rename 디렉터리 아래의 filemanager 폴더에 있는Dialog.php 파일을 호출하여 파일 및 이미지 업로드를 제어할 수 있습니다. 보안 제어를 위해 코드 실행(admin-rename/filemanager/execute.php?action=rename_folder)을 구성하고 우편으로 제출하고 이 파일 코드에 데이터를 보내고 PHP 역직렬화를 사용하여 코드를 자동으로 구문 분석하여 원격 효과를 얻을 수 있습니다. 코드 주입 실행.

PrestaShop 웹사이트 취약점 복구 및 방법

PrestaShop 버전을 최신 버전으로 업그레이드하고, php.ini의 구문 분석 기능을 off로, 특히 phar.readonly=off로 설정하고, 여기에서 off로 설정하고, 보안 필터링을 강화하고 웹사이트 업로드 기능 필터링 불법 매개변수 삽입 및 웹사이트 취약점 코드 기능 주석

위 내용은 PrestaShop 웹사이트 취약점에 대한 수정 사항은 무엇입니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!