怎麼修復網站漏洞之metinfo遠端SQL隱碼攻擊漏洞修補

2018年11月23日SINE網站安全檢測平臺，檢測到MetInfo最新版本爆出高危漏洞，危害性較大，影響目前MetInfo 5.3版本到最新的 MetInfo 6.1.3版本，該網站漏洞產生的主要原因是MetInfo的上傳程式碼裡的引數值沒有進行安全過濾，導致上傳路徑這裡進行偽造路徑，並可以插入惡意的程式碼，以及特殊字元進行上傳圖片到MetInfo的後臺。

MetInfo也叫米拓企業網站建站系統，是目前大多數企業網站使用的一個建站系統，整個系統採用的是php+mysql資料庫作為基礎架構，支援多功能語言版本以及html靜態優化，視覺化簡單操作，可以自己定義編寫API介面，米拓官方提供免費的模板供企業網站選擇、網站加速，補丁線上升級，移動端自適應設計，深受廣大建站公司的喜歡。

metinfo 漏洞詳情利用與metinfo 網站漏洞修復

目前最新的版本以及舊的版本，產生漏洞的原因以及檔案都是圖片上傳程式碼裡的一些程式碼以及引數值導致該漏洞的產生，在上傳圖片中，遠端儲存圖片功能引數裡可以對傳入的遠端路徑值得函式變數進行修改與偽造，整個metinfo系統並沒有對該變數值進行嚴格的檢查，導致攻擊者可以利用SQL隱碼攻擊程式碼進行攻擊，我們來測試程式碼，www*****com/?%23.png加了百分比符合可以繞過遠端上傳圖片的安全過濾，metinfo後臺會向目標網址進行請求下載，進而造成漏洞攻擊。

metinfo漏洞修復建議：

該網站漏洞，SINE安全已提交報告給metinfo官方，官方並沒有給與積極的回應。官方也沒有更新關於該metinfo漏洞的補丁，建議企業網站對上傳程式碼這裡進行註釋，或者對上傳的圖片格式進行伺服器端的安全過濾與檢測，尤其GET,POST的請求方式進行檢測上傳特徵碼。也可以對圖片上傳的目錄進行指令碼許可權的控制，取消執行許可權，以及PHP指令碼執行許可權。