PbootCMS是網(wǎng)站常用的一款CMS系統(tǒng)，是由國內(nèi)著名程序開發(fā)商翔云科技研發(fā)的一套網(wǎng)站CMS系統(tǒng)，免費開源，擴展性較高，使用的企業(yè)很多但是避免不了網(wǎng)站存在漏洞，SINE安全對其代碼進行安全審計的同時發(fā)現(xiàn)該pbootcms 存在嚴重的漏洞，包含SQL注入獲取管理員密碼漏洞，以及遠程代碼注入執(zhí)行漏洞。該pbootcms系統(tǒng)采用的是PHP語言開發(fā)，數(shù)據(jù)庫是MYSQL,并支持pgsql數(shù)據(jù)庫大并發(fā)處理，系統(tǒng)默認支持的服務器環(huán)境，PHP5.3版本以上，以及mysql版本5.6,apache,nginx,都可以運行該CMS系統(tǒng)。關于這次檢測出來的CMS漏洞，我們進行詳細的介紹。
之前的pbootcms老版本出現(xiàn)的漏洞也比較多，我們這次審計的是pbootcms V1.3.3新版本，新版本較于老版本更新了許多，SQL注入非法參數(shù)的過濾，以及上傳漏洞的修復，過濾系統(tǒng)的加強，但還是始終沒有嚴格的杜絕非法參數(shù)的傳入。我們來看下這個遠程代碼注入執(zhí)行漏洞，該漏洞產(chǎn)生的原因是在ParserController.php代碼里的LABEL方式調(diào)用shat函數(shù)，我們來看下代碼：
我們找到label調(diào)用的方式，一步步跟蹤代碼查到是使用了after的方式調(diào)用，看到注釋的內(nèi)容大體的意思是網(wǎng)站的前端模板在進行解析標簽的操作是，會對網(wǎng)站前端的默認數(shù)據(jù)庫標簽進行解析，然后通過標簽的內(nèi)容再進行傳遞數(shù)值，在傳遞的過程中，用戶輸入的一些數(shù)據(jù)造成了這次遠程代碼注入執(zhí)行漏洞。
pbootcms v1.3.3版本的過濾了一些非法注入?yún)?shù)，但是還是可以進行代碼繞過，可以使用寬字節(jié)繞過注入，使用字符轉義也可以對過濾系統(tǒng)進行繞過，混跡代碼加強運算符也可以對pbootcms的安全過濾系統(tǒng)進行繞過。我們來測試一下：
構造我們的注入代碼：我們在服務器里搭建了一個測試環(huán)境，[本地/index.php/index/index?safe=](本地/index.php/index/index?safe=){pboot:if(1)$a=
【深圳網(wǎng)站建設】PBOOTCMS網(wǎng)站漏洞檢測對獲取管理員密碼漏洞如何修復_深圳搬家搬廠網(wǎng)站建設
【深圳網(wǎng)站建設】PBOOTCMS網(wǎng)站漏洞檢測對獲取管理員密碼漏洞如何修復
發(fā)布時間：2024-07-17來源：網(wǎng)站建設公司
content
閱讀過此文章的讀者，還閱讀過下面的文章
-
<p>
深圳網(wǎng)站制作好后來年到期了該怎么辦，不管是個人還是公司，要想制作好一個網(wǎng)站真的不容易，不僅僅需要做網(wǎng)站前期的規(guī)劃和策劃工作，還需要對網(wǎng)站建設的欄目，內(nèi)容進行填充和建設，面對這一堆的要求和東西，整體還是比較麻煩和費事的，所以，網(wǎng)站建設制作好之后，一定要注意來年的續(xù)費問題，好多公司不注意這個問題，造成了網(wǎng)站后期打不開了，不能正常方面了，出現(xiàn)了問題才想起來網(wǎng)站沒有續(xù)費，接下來我們來看看深圳網(wǎng)絡公司是如何建議的。
</p>
<p>
1.域名到期的影響<br />
一般情況下，網(wǎng)站域名需要一年進行一次續(xù)費，也可以一次購買多年，如果域名到期沒有及時續(xù)費，網(wǎng)站就會打不開，域名續(xù)費期一般是一個月，過了這個時間就會進入贖回期，這時候就不能續(xù)費了。<br />
2.服務器到期的影響<br />
服務器到期與域名一樣，到期后網(wǎng)站同樣不能打開，如果之前網(wǎng)站在做推廣，會直接影響展現(xiàn)效果，長時間不續(xù)費的話，網(wǎng)站數(shù)據(jù)就會全部刪除了，之前的努力就全白做了。<br />
3.網(wǎng)站維護服務到期<br />
有些網(wǎng)絡公司服務商會有網(wǎng)站維護費用，一般都是一年為一個期限，如果到期后您沒有及時維護，網(wǎng)站出現(xiàn)問題后就不會有人給您維護，就會造成影響。影響最大的就是網(wǎng)站展現(xiàn)的效果。<br />
</p>
-
<p>
深圳做網(wǎng)站公司做網(wǎng)站時要明白這些。其實做網(wǎng)站有的時候不僅僅是在做網(wǎng)站，更多的是在幫助其他公司在做網(wǎng)絡宣傳門戶，站在這個角度上你就知道你所承擔的責任了，作為現(xiàn)在公司網(wǎng)站建設不僅要符合時代潮流，更多的需要緊扣時代網(wǎng)頁設計特色和要求，只有這樣制作設計出來的網(wǎng)站才能更好的滿足現(xiàn)在人們的使用要求和觀念的，不管是在網(wǎng)站設計理念，網(wǎng)站布局規(guī)劃，以及網(wǎng)站內(nèi)容建設等等，這些方面都需要進口時代主題和要求的，接下來我們來看看深圳網(wǎng)站制作公司是如何做的，需要做好那些方面的要求和規(guī)范呢？
</p>
<p>
審美在變，網(wǎng)站設計要緊跟潮流<br />
也許用戶訪問時，不會逐一閱讀網(wǎng)站內(nèi)容，但首先映入眼簾的一定是設計。也許網(wǎng)站在幾年前設計制作的確實很漂亮，但是我們無法否認的事實是，用戶對網(wǎng)站設計的審美一直在不斷改變。這個比較容易對比，隨便找一個行業(yè)，然后通過百度搜索到十家網(wǎng)站，分別對應年份和網(wǎng)站的網(wǎng)址，讓一個不知情的人去逐一打開并評判感受。大體趨勢是越是新近設計制作的網(wǎng)站，越容易贏得用戶的接受承認。其實這就是用戶的真實感受，每年快速改版重做對于很多公司來說有些壓力，但是筆者認為一般而言網(wǎng)站2-3年是需要重新設計制作快速的。一個通過網(wǎng)站尋找供應商的用戶，其瀏覽網(wǎng)站一般也就幾十秒到幾分鐘時間，先進的網(wǎng)站設計效果是吸引其深入了解進而咨詢的較好方法。<br />
技術在變，網(wǎng)站制作要貼合需求<br />
周圍的一切都在發(fā)生著巨變，網(wǎng)站技術也是如此，此前被很多網(wǎng)站公司采用的ASP網(wǎng)站開發(fā)語言幾乎已經(jīng)沒人使用，相對于傳統(tǒng)的PC端網(wǎng)站，現(xiàn)在更多看重的是移動端，公司設計制作的網(wǎng)站現(xiàn)在多為自適應PC端、PAD端以及手持移動終端的響應式網(wǎng)站。誰也不知道網(wǎng)站技術會走向哪個方向，但是對于普通的企業(yè)而言，我們可以把握趨勢，至少每隔兩三年對網(wǎng)站重新快速設計制作。<br />
企業(yè)在變，網(wǎng)站建設要適應發(fā)展<br />
網(wǎng)站總是為企業(yè)服務的，換句話說就是網(wǎng)站的設計制作需要跟上企業(yè)的發(fā)展步伐?，F(xiàn)在急劇變化的市場面前，如果想立于不敗之地，企業(yè)的經(jīng)營策略一定在不斷調(diào)整優(yōu)化。作為給企業(yè)發(fā)展提供服務的網(wǎng)站，其理應不斷調(diào)整不斷優(yōu)化以適應公司需求?，F(xiàn)在是互聯(lián)網(wǎng)時代，用戶了解公司更多的也是通過網(wǎng)絡，網(wǎng)站不僅是營銷的工具，更是企業(yè)品牌形象的展示窗口。由于人力成本的不斷升高，而網(wǎng)站設計更多的需要技術人員手工完成，所以真正定制開發(fā)的網(wǎng)站都價格不菲。但是同樣是網(wǎng)站建設公司網(wǎng)站改版也不一定就選擇定制，如果有合適的模板網(wǎng)站，也是不做的選擇。我們需要的是一個緊跟時代和用戶需求的網(wǎng)站，而非一定采用哪種方式實現(xiàn)它。
</p>
-
英文網(wǎng)站制作需要注意那些問題和事項。英文網(wǎng)站制作還是跟中文網(wǎng)站制作有比較大的區(qū)別的，應為中文網(wǎng)站面對的客戶群體是國內(nèi)的用戶，而國內(nèi)的用戶對網(wǎng)站的使用習慣，要求都是跟國外不一樣的，從而在制作英文網(wǎng)站的時候，一定要注意，像這種英文網(wǎng)站制作還是需要從國外人使用網(wǎng)站的習慣，使用網(wǎng)站的一些喜好出發(fā)，只有這樣制作出來的網(wǎng)站滿足國外人的使用的，這是一個方面，另外一個方面就是國外網(wǎng)站面對的搜索引擎，也是不一樣的，國外的搜索引擎跟國內(nèi)有著比較大的區(qū)別的，搜索引擎也是制作英文網(wǎng)站必須要考慮的一個方面了，最后就是網(wǎng)站制作價格方面了，一般英文網(wǎng)站制作價格要比國內(nèi)的網(wǎng)站制作價格高一些，這是一定的，畢竟國外網(wǎng)站制作的細節(jié)要求，以及針對搜索引擎優(yōu)化方面還是有比較高的要求的，所以，這些都是工作量，也都是需要處理好這些方面的細節(jié)工作的。
-
<p>
網(wǎng)站設計公司的發(fā)展趨勢詳解，目前網(wǎng)頁設計公司慢慢的轉型升級成為一種綜合性的設計公司了，不僅僅是在網(wǎng)站設計了，如果單純的依賴于網(wǎng)站設計，對于這樣的公司來說現(xiàn)在還是很被動的，并且目前的網(wǎng)站制作價格已經(jīng)白熱化了，競爭也是很大的情況下，好多公司已經(jīng)賺不到什么錢了，面對這樣的市場形式，作為網(wǎng)站設計公司要不斷的擴大和嘗試新的方式和方法，實現(xiàn)公司業(yè)務的升級和轉型，這也是擺在深圳<a href="http://www.szbc888.com" target="_blank"><strong>網(wǎng)站制作公司</strong></a>面對不可逾越的一個問題了，畢竟現(xiàn)在網(wǎng)站制作公司的活量不大，如果養(yǎng)一個專業(yè)的網(wǎng)頁設計技術團隊專門作網(wǎng)站，根本養(yǎng)活不了這樣的公司的發(fā)展了，更多的還需要通過其他的渠道，其他的平臺上獲得更為有質(zhì)量的客戶，這也是當下網(wǎng)站制作公司不得不面對的一個話題了。
</p>
<p>
<img src="static/picture/20231030113846_47114.jpg" alt="" />
</p>
<p>
<a href="http://www.szbc888.com" target="_blank"><strong>網(wǎng)頁設計公司</strong></a>業(yè)務范圍擴大，于是著這個網(wǎng)站制作行業(yè)市場需求量在逐漸的縮小，并且凡是使用到網(wǎng)站的多半集中在一些公司，單位方面的需求了，對于一些個人對網(wǎng)站的需求還是很少的，除非一些專業(yè)化路線的個人才會這樣做的，網(wǎng)站設計公司的轉型升級，不僅提升的服務質(zhì)量，更多的將服務方位不斷的擴大，從而得到更好的市場群體，能夠為更多的市場客戶服務。
</p>
-
<p>
網(wǎng)站制作低價格策略已經(jīng)成為網(wǎng)站制作行業(yè)的殺手锏，整個大環(huán)境不好的情況下，好多公司在制作網(wǎng)站的時候，已經(jīng)在想盡辦法降低網(wǎng)站制作的成本了，從當初的網(wǎng)站制作就直接去搜索引擎上搜索網(wǎng)站制作公司了，而如今制作網(wǎng)站已經(jīng)發(fā)生變化了，從搜索引擎走向了淘寶，拼多多這些低價平臺了，并且這些平臺都是擔保交易了，好多的需要<a href="http://www.szbc888.com" target="_blank"><strong>制作公司網(wǎng)站</strong></a>的商家慢慢轉向這個方面來了，所以制作出來的網(wǎng)站不是模板的就是仿制的網(wǎng)站，價格的確很低，并且效率也是很高的，這也是聰明的用戶慢慢的轉型和變化了，如果這些模板網(wǎng)站放在搜索引擎來的客戶的話，這些網(wǎng)站制作下來的費用基本上在好幾千了，面對這樣的市場轉型和升級，這也讓好多網(wǎng)站制作公司尋找不同的出路了。
</p>
<p>
<img src="static/picture/20231030113212_16069.jpg" alt="" />
</p>
<p>
<a href="http://www.szbc888.com" target="_blank"><strong>深圳網(wǎng)站制作</strong></a>的價格的確沒有那么低，但是作為一些低價平臺上的用戶，他們?yōu)榱藸幦〉娇蛻簦蛢r引流，從而實現(xiàn)了低價格制作網(wǎng)站的形式，作為網(wǎng)站制作公司，你這樣低價格去做的目的就只有一個，那就是辛苦轉不到錢的，都是轉一些辛苦錢而已，面對這樣的市場形式和要求，作為網(wǎng)站制作公司一定要不斷的提升網(wǎng)站制作的附加值，提升<a href="http://www.szbc888.com" target="_blank"><strong>網(wǎng)站制作</strong></a>的質(zhì)量，讓用戶以質(zhì)量取勝，不能專門走低價格戰(zhàn)略，不然你的公司是發(fā)展不起來的，也作不大的，作為用戶而已，你公司小還可以這樣去做，如果公司發(fā)展到一定程度的去制作網(wǎng)站，這對于你的公司來說是滅頂之災了，所以選擇網(wǎng)站制作公司還是要從專業(yè)的角度出發(fā)去幫助客戶解決實際的問題，從而實現(xiàn)網(wǎng)站制作公司的價值和效益。
</p>
-
<p>
深圳網(wǎng)站定制開發(fā)全流程詳解，作為網(wǎng)站定制開發(fā)公司接下來給大家普及一下網(wǎng)站定制究竟要經(jīng)過那些過程呢，前期的網(wǎng)站溝通肯定是少不了的，除此之外，網(wǎng)站備案這塊也是需要的，只要是正規(guī)的公司，正常的流程，網(wǎng)站備案也是需要做的，剩下的就是網(wǎng)站制作過程中的一些溝通了，接下來我們來看看<a href="http://www.szbc888.com" target="_blank"><strong>深圳網(wǎng)站制作</strong></a>公司的一個標準的流程。
</p>
<p>
需求分析： 通過對客戶業(yè)務的了解和與客戶對流程的討論對需求進行基本建模，最終形成需求規(guī)格說明書<br />
總體設計： 通過分析需求信息，對系統(tǒng)的外部條件及內(nèi)部業(yè)務需求進行抽象建模，最終形成概要設計說明文檔<br />
詳細設計： 此部分在對需求和概要設計的基礎上進行系統(tǒng)的詳細設計（也包含部分代碼說明）<br />
開發(fā)編程： 對系統(tǒng)進行代碼編寫<br />
測試分析與系統(tǒng)整合： 對所有功能模塊進行模擬數(shù)據(jù)測試及其它相關性測試并整合所有模塊功能<br />
現(xiàn)場支持： 系統(tǒng)上線試運行進行現(xiàn)場問題記錄、解答<br />
系統(tǒng)運行支持： 系統(tǒng)正式推產(chǎn)后，對系統(tǒng)進行必要的維護和BUG修改<br />
</p>
GET[b];$a();;//)})}}{/pboot:if}&b=phpinfo
我們來執(zhí)行看下，竟然執(zhí)行了phpinfo查詢，我們也可以執(zhí)行一些查詢數(shù)據(jù)庫的賬號密碼等管理員的操作。
pbootcms獲取管理員密碼漏洞分析
關于這個網(wǎng)站漏洞的產(chǎn)生是存在于ParserController.php代碼里的parserSearchLabel()方式進行的調(diào)用代碼，可以插入一些非法的參數(shù)，單引號，轉義符，斜杠等等非法參數(shù)，我們使用OR注入代碼，進行獲取管理員賬號密碼就可以了。
關于pbootcms漏洞修復，建議網(wǎng)站的運營者盡快升級pbootcms到最新版本，也可以在服務器端進行sql注入攻擊防護，攔截get、post、cookies提交的非法參數(shù)。對網(wǎng)站上的漏洞進行修復，或者是對網(wǎng)站安全防護參數(shù)進行重新設置，使他符合當時的網(wǎng)站環(huán)境。如果不懂如何修復網(wǎng)站漏洞，也可以找專業(yè)的網(wǎng)站安全公司來處理，國內(nèi)也就Sinesafe和綠盟、啟明星辰等安全公司比較專業(yè).針對于pbootcms默認的管理員登錄地址進行修改，默認是admin.php改為anquan123admin.php即可，盡量長一些，字母加數(shù)字組合，避免攻擊者進行暴力猜解，利用獲取到的管理員賬號密碼登錄后臺。
如未特殊注明，文章均來源于網(wǎng)絡！ 轉載請注明來自：http://www.
