网站漏洞修补之苹果cms建站系统

苹果cms系统，是目前很多电影网站都在使用的一套网站系统，开源，免费，扩展性较好，支持一键采集，伪静态化，高并发的同时承载，获得的很多站长的喜欢，于近日被网站安全检测发现，maccms存在网站漏洞，sql注入盲射获取数据库的管理员账号密码，关于该漏洞的详情，我们仔细分析看下.

maccms漏洞分析与修复

苹果CMS采用的是php语言开发的代码，使用的数据库是mysql类型，这种架构是比较常用的，也是比较稳定的，但是在安全方面出现的问题是比较多的，这次发现的是sql注入漏洞，在网站的根目录下的inc文件里的module目录下的vod.php代码如下图所示：

代码里的empty($wd函数，在进行判断如果是，或者不是的逻辑过程当中，会将前段用户访问带来的参数，进行安全过滤，我们跟进代码来追寻到苹果CMS的配置文件，在function.php配置文件代码李看到对网站的所有请求方式包括get、post、cookies的提交方式都强制性的进行了安全转义。网站漏洞问题的发生就在这里.

我们仔细又发现，maccms使用了360安全提供的防止sql注入拦截代码。360的防止sql注入是好几年前开发，并公开在网络上的，已经很久没有更新维护了并且还存在sql注入代码绕过的情况，参数值之间进行实体转换的时候，360的sql拦截规则没有对空白符以及反斜杠进行拦截，导致可以绕过插入恶意参数，直接请求到苹果c