10秒后自動關(guān)閉
帝國CMS存在SQL注入漏洞（CNVD-2024-4321448、CVE-2023-50073）

帝國CMS（EmpireCMS ）是一款非常出名的網(wǎng)站管理系統(tǒng)，用戶也非常多。


國家信息安全漏洞共享平臺于2024-11-06公布其存在SQL注入漏洞。

漏洞編號：CVE-2024-44725、CNVD-2024-43215

影響產(chǎn)品：帝國CMS V7.5

漏洞級別：高

公布時間：2024-11-06

漏洞描述：帝國CMS v7.5版本存在SQL注入漏洞，該漏洞源于 SetEnews.php 中的 ftppassword 參數(shù)缺少對外部輸入的SQL命令進(jìn)行驗證，黑客可利用該漏洞執(zhí)行SQL注入攻擊，竊取數(shù)據(jù)庫敏感數(shù)據(jù)或篡改數(shù)據(jù)。

image

image

image


解決辦法：

此類CMS因功能復(fù)雜、文件較多的原因，往往不止一處漏洞。如果只是修改代碼，并不能徹底解決所有漏洞。

從上述漏洞描述可見，出現(xiàn)問題的文件位于后臺，那解決就比較簡單了：從物理層面，限制后臺只允許管理員進(jìn)入。

所謂物理層面，是指不依賴帝國CMS自身的身份驗證機(jī)制，而是通過第三方防護(hù)系統(tǒng)來解決。

可以使用『護(hù)衛(wèi)神·防入侵系統(tǒng)』系統(tǒng)的“網(wǎng)站后臺保護(hù)”和“SQL注入防護(hù)”來解決。



1、網(wǎng)站后臺保護(hù)

如下圖一，對后臺（/admin/）進(jìn)行保護(hù)，后期訪問時需要先驗證授權(quán)密碼（如圖二），只有輸入了正確的密碼才能訪問。


網(wǎng)站后臺保護(hù).png

（圖一：網(wǎng)站后臺保護(hù)設(shè)置）




網(wǎng)站后臺保護(hù).png

（圖二：訪問后臺需要輸入授權(quán)密碼）



2、SQL注入防護(hù)

『護(hù)衛(wèi)神·防入侵系統(tǒng)』自帶SQL注入防護(hù)模塊，安裝后默認(rèn)就開啟了（如圖三），攔截效果如圖四。


SQL注入防護(hù)模塊.png

（圖三：SQL注入防護(hù)模塊）



SQL注入攔截效果.png

（圖四：SQL注入攔截效果）