2018年11月23日SINE網(wǎng)站安全檢測平臺，檢測到MetInfo最新版本爆出高危漏洞，危害性較大，影響目前MetInfo 5.3版本到最新的 MetInfo 6.1.3版本，該網(wǎng)站漏洞產(chǎn)生的主要原因是MetInfo的上傳代碼里的參數(shù)值沒有進行安全過濾，導致上傳路徑這里進行偽造路徑，并可以插入惡意的代碼，以及特殊字符進行上傳圖片到MetInfo的后臺。
MetInfo也叫米拓企業(yè)網(wǎng)站建站系統(tǒng)，是目前大多數(shù)企業(yè)網(wǎng)站使用的一個建站系統(tǒng)，整個系統(tǒng)采用的是php+mysql數(shù)據(jù)庫作為基礎架構(gòu)，支持多功能語言版本以及html靜態(tài)優(yōu)化，可視化簡單操作，可以自己定義編寫API接口，米拓官方提供免費的模板供企業(yè)網(wǎng)站選擇、網(wǎng)站加速，補丁在線升級，移動端自適應設計，深受廣大建站公司的喜歡。
metinfo 漏洞詳情利用與metinfo 網(wǎng)站漏洞修復
目前最新的版本以及舊的版本，產(chǎn)生漏洞的原因以及文件都是圖片上傳代碼里的一些代碼以及參數(shù)值導致該漏洞的產(chǎn)生，在上傳圖片中，遠程保存圖片功能參數(shù)里可以對傳入的遠程路徑值得函數(shù)變量進行修改與偽造，整個metinfo系統(tǒng)并沒有對該變量值進行嚴格的檢查，導致攻擊者可以利用SQL注入代碼進行攻擊，我們來測試代碼，www*****com/?%23.png加了百分比符合可以繞過遠程上傳圖片的安全過濾，metinfo后臺會向目標網(wǎng)址進行請求下載，進而造成漏洞攻擊。
metinfo漏洞修復建議：
該網(wǎng)站漏洞，SINE安全已提交報告給metinfo官方，官方并沒有給與積極的回應。官方也沒有更新關于該metinfo漏洞的補丁，建議企業(yè)網(wǎng)站對上傳代碼這里進行注釋，或者對上傳的圖片格式進行服務器端的安全過濾與檢測，尤其GET,POST的請求方式進行檢測上傳特征碼。也可以對圖片上傳的目錄進行腳本權限的控制，取消執(zhí)行權限，以及PHP腳本執(zhí)行權限。
本文來源：www.sinesafe.com
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
