樹(shù)結(jié)構(gòu)圖
您現(xiàn)在的位置： > 技術(shù)沙龍 > WEB開(kāi)發(fā) > PHP > 對(duì)PHP文件上傳存在漏洞的解決辦法
- 相關(guān)軟件
>對(duì)PHP文件上傳存在漏洞的解決辦法 創(chuàng)建者：webmaster 更新時(shí)間：2005-07-02 00:23
使用腳本來(lái)實(shí)現(xiàn)網(wǎng)站動(dòng)態(tài)效果，已經(jīng)廣泛應(yīng)用于各個(gè)網(wǎng)站和WEB方式交互應(yīng)用。而且，為實(shí)現(xiàn)更大交互性，很多都提供諸如圖片上傳、文件上傳等功能其中ASP和PHP使用最為普遍。架設(shè)在IIS服務(wù)器上的ASP應(yīng)用因?yàn)镮IS的安全問(wèn)題，讓很多安全專家建議使用相對(duì)安全的PHP腳本。但是近日由德國(guó)e-matters公司發(fā)布了多個(gè)關(guān)于PHP文件上傳函數(shù)中存在的遠(yuǎn)程漏洞，這些漏洞將廣泛影響到IIS、Apache、Netscape、iPlanet等WEN服務(wù)器上使用PHP的安全。
??
如果攻擊者利用這些漏洞，將能夠執(zhí)行任意程序。這個(gè)漏洞出現(xiàn)在php_mime_split函數(shù)中，該函數(shù)存在一些緩沖區(qū)溢出和脆弱的邊界檢查問(wèn)題，其中的一些緩沖區(qū)問(wèn)題能夠被很容易利用。邊界檢查問(wèn)題只在Linux和Solaris系統(tǒng)上可利用，而PHP3中存在的緩沖區(qū)溢出問(wèn)題則影響了Linux,BSD,Windows,Solaris等系統(tǒng)。
??
由于PHP在Linux、Solaris等系統(tǒng)上使用廣泛，金山毒霸安全小組建議使用PHP的用戶請(qǐng)注意更新版本。請(qǐng)升級(jí)到2002-2-27發(fā)布的PHP 4.1.2版本。
下載地址：http://www.php.net/do_download.php?download_file=php-4.1.2.tar.gz
或者安裝相應(yīng)版本的補(bǔ)丁，這些補(bǔ)丁可以在http://www.php.net/downloads.php下載。
這些補(bǔ)丁包括：
??PHP 4.1.0/4.11版本（1Kb）：
??http://www.php.net/do_download.php?download_file=rfc1867.c.diff-4.1.x.gz
??PHP 4.0.6版本（2Kb）：
??http://www.php.net/do_download.php?download_file=rfc1867.c.diff-4.0.6.gz
??PHP 3.0版本（1Kb）：
??http://www.php.net/do_download.php?download_file=mime.c.diff-3.0.gz
??
??如果使用的是PHP 4.0.3及以上版本，如果不使用上傳功能，金山毒霸安全小組建議修改PHP中的配置文件，取消該功能，這樣可以不受該漏洞影響。
??編輯配置文件php.ini,設(shè)置：file_uploads = off。相關(guān)文章
本頁(yè)查看次數(shù):