PHP编写主机内容过滤,Ecshop教程：通过修改过滤模板里的php代码，防止模板被挂马...

最近有些使用ecshop的老用户在php免备案空间上的网站经常被挂马，虽然在网上有个多的处理方法，可能是由于版本过低，很多新的修复补丁没有打上吧导致经常挂马；对代码又不懂的人来说，确实很麻烦。要知道ecshop的模板是支持php代码的，这就给一些不法分子创造了挂马的机会，这些不法分子挂马步骤很可能是：

1、通过ecshop的漏洞搞sql注入，暴出管理员密码md5值，然后通过**md5得到管理密码。(注:防止暴出管理密码md5值的方法是关闭display_errors，并且修改cls_mysql.php里的ErrorMsg函数，注释掉所有错误输出代码或把错误写入文件)

2、进入管理后台，通过模板管理－》库项目管理，编辑lbi文件，添加php代码，例如<?php @eval($_POST['lx']);?>

3、到这里，就完全控制这个站了，想挂什么马就挂什么马。

可见，ecshop的模板支持php代码这点是非常危险的，因此我们应该过滤模板里的所有php代码。虽然新的补丁有这个功能，打上新的补丁就可以了，但是无忧小编在网上找到了一个更为灵活的方法，就是添加一个函数代码：

1、修改cls_templage.php文件，添加函数：function delete_php_code($content)

{

if(!empty($content))

{

$pattern='/\/U';

return preg_replace($pattern,'',$content);

}

}

2、第165行

$out = $this->_eval($this->fetch_str(file_get_contents($filename)));

修改为：

$out = $this->_eval($this->fetch_str($this->delete_php_code(file_get_contents($filename))));

3、第260行

$source = $this->fetch_str(file_get_contents($filename));

修改为：

$source = $this->fetch_str($this->delete_php_code(file_get_contents($filename)));

这样一来，模板里的php代码就被过滤掉了，防止模板被挂马。

无忧主机相关文章推荐阅读：

ECSHOP教程：团购提示“商品库存不足”

ECSHOP教程：设置商品比较浮动块的上下位置

ECSHOP如何把商品详情页用户评论修改为商品名称+评论字样的方法

本文地址：https://www.51php.com/ecshop/20117.html