简介:

2018年10月16日,阿里云云盾应急响应中心监测到有安全研究人员披露了Metinfo最新版本6.1.2网站前台SQL注入漏洞。攻击者通过构造恶意SQL语句,成功利用该漏洞进行攻击可获取网站数据库敏感信息及权限。

详情:

漏洞文件metinfo6.1.2/app/system/message/web/message.class.php中未对id参数做有效过滤,导致SQL注入漏洞。

解决方案:

方案一:
修改文件:/app/system/message/web/message.class.php
修改内容: (大约在43行,可以直接搜索)
$met_fd_ok=DB::get_one(“select * from {$M

[config]} where lang ='{$M[form][lang]}’ and name= ‘met_fd_ok’ and columnid = {$M[form][id]}“);
修改为:
$met_fd_ok=DB::get_one(“select * from {$
M

[config]} where lang ='{$M[form][lang]}’ and name= ‘met_fd_ok’ and columnid = ‘{$M[form][id]}’“);

方案二:
安骑士/态势感知企业版用户可使用”一键修复”功能修复漏洞,详情登陆云盾控制台

方案三:
云盾WAF已可防御此漏洞攻击
云盾网站威胁扫描系统已支持对该漏洞检测

方案四:

升级到官方最新的6.1.3版本