莆田zen cart 安全漏洞--防黑必看.docVIP

zen cart 安全漏洞--防黑必看最近网站被入侵，通过APACHE 日志分析找到原因了，是通过后台上传功能上传木马。是因为安装一个批最上传的插件Easy Populate（相信很多人有安装些插件）。还有通过record_company.php文件，这些卑鄙小人就是通过后台上传上来。随便骂他们：不得好死解决方案：1、对于能上传功能要进行控件Easy Populate后台能修改上传目录，这个要在代码写死，只能上传到tempEP2、删除掉record_company.php文件admin/record_company.php3、控制images,tempEP目录，php不能执行，如果被上传木马，木马程序也不能被执行。4、非常重点一点，后台的访问的用户名和密码记得要修改。有些可能是以前离职员工知道后台登录密码。如果以上三点做到，他知道密码也就不用担心。5、index.php和include目录控件只读。万一被上传木马也不用担心被跳转。其他方面：需要删除的目录根目录下：Docs ,extras,zc_install,install.txt,download,media,pubEditors/fckeditorrm docs -frrm extras -frrm zc_install -frrm install.txt -frrm download -frrm media -frrm pub -fr删除了download目录,需再执行这条代码,禁止下载update `zen_configuration` set configuration_value=false where DOWNLOAD_ENABLED=configuration_key有其它方法欢迎补充，如果觉得好，对你有帮助，那就顶起来-----------------------------------------------------------11xrumerboy1请问一下 “控制images,tempEP目录，php不能执行”请问代码是什么呢？是否可以分享一下！-----------------------------------------------------------22cnseotool2 引用 请问一下 “控制images,tempEP目录，php不能执行”请问代码是什么呢？是否可以分享一下！ 用.htaccess 文件控制权限。.htaccess 文件的内容为：# deny *everything*Order Allow,DenyDeny from all# but now allow just *certain* necessary files:Order Allow,DenyAllow from allIndexIgnore */*添加index.html空文件【这个是防止images 文件夹被遍历。总结：在images 文件夹下添加.htaccess 文件和index.html 空文件。最高权限,Chmod 754 images -R-----------------------------------------------------------33cnseotool3自己做个测试，需要木马，可以找我。这些马是从被入侵网站中抓到的-----------------------------------------------------------44xiaowoniu4值得一试。期待佳音-----------------------------------------------------------55cnseotool5以前被做的跳转脚本这个人渣whois信息你们可以查一下：stylesheet.me大家要检查一下。做跳转后，你网站过不了多久就会被降权。-----------------------------------------------------------66cnseotool6自己需要木马测试可以加我QQ：506530455 备注：SEM9 ZC 安全-----------------------------------------------------------77lixiang7magento是否有类似的漏洞呢，恐惧啊-----------------------------------------------------------88heixia8zen-cart 1.39h版本，程序基本是没漏洞的。Easy Populate插件，