永久黄网站色视频免费直播,yy6080三理论日本中文,亚洲无码免费在线观看视频,欧美日韩精品一区二区在线播放

標(biāo)題: [BUG反饋] WDCP 重大漏洞密碼為明文直接用PHP能讀取到密碼默認(rèn)直接跨站 [打印本頁(yè)]

作者: jsudi 時(shí)間: 2018-7-15 19:30 標(biāo)題: WDCP 重大漏洞密碼為明文直接用PHP能讀取到密碼默認(rèn)直接跨站

最近,我的VPS上安置了幾個(gè)網(wǎng)站用戶,不知道是用戶搞鬼還是網(wǎng)站織夢(mèng)程序本身漏洞,導(dǎo)致被上傳文件管理器,而且整個(gè)就跨站了,所有的網(wǎng)站都有木馬程序,整個(gè)被人操控,我試了,無論在哪個(gè)空間搞一個(gè)file_get_contents(WDCP密碼路徑)這里不再細(xì)說了,你懂得,然后就讀取到WDCP密碼其他一些密碼端口配置等等都是可以直接讀取所以說這些寫重大隱患,搞個(gè)MD5也好吧其他網(wǎng)站的文件更是隨意讀取修改這就是跨站最近被黑的太慘感謝WDCP 給我?guī)矸奖愕耐瑫r(shí) 也帶來麻煩謝謝

作者: admin 時(shí)間: 2018-7-16 15:04

不知你是在哪里看，是明文，很好奇
而且，默認(rèn)的數(shù)據(jù)庫(kù)文件，也只有root用戶可讀寫，其它用戶是不可讀的

作者: jsudi 時(shí)間: 2018-7-16 19:39

老鐵,密碼就在/www/wdlinux/wdcp/conf/mrpw.conf 明文的難道您不知道嗎 ?

作者: 行者無疆 時(shí)間: 2018-7-16 22:44

剛測(cè)試了一下，這還真的是這樣的。

作者: 月下凝眸 時(shí)間: 2018-7-17 10:31

剛剛看了一下，這里看到的是mysql密碼，還真是

作者: jsudi 時(shí)間: 2018-7-17 11:12

看到的就是WDCP登錄密碼啊你說是SQL密碼說明你登錄密碼和 SQL 密碼一樣的,其實(shí)其他的 FTP 密碼也是明文的本來LINUX 都是文本形式存在只要獲得路徑一切都曝光了

作者: cqjian 時(shí)間: 2018-7-17 16:14

我前段時(shí)間也被人拿了后臺(tái)，后來自己改了密碼，如果這樣有可能修改后的密碼他們也有可能拿到。

作者: admin 時(shí)間: 2018-7-18 12:28

這個(gè)是mysql的密碼，并不是wdcp的登錄密碼
為了小工具的方便用，確實(shí)是明文存儲(chǔ)。不過一般用戶是讀取不到的
這個(gè)文件的默認(rèn)權(quán)限，應(yīng)該是600，其它的用戶也讀不到的
可以檢查或重新設(shè)置一下
chmod 600 /www/wdlinux/wdcp/conf/mrpw.conf

作者: jsudi 時(shí)間: 2018-7-18 18:36

回復(fù) 8# admin

老鐵,絕對(duì)是 WDCP 的登錄密碼這個(gè) 不用質(zhì)疑的您老人家還是先核實(shí)吧

作者: jsudi 時(shí)間: 2018-7-18 19:01

回復(fù) 8# admin

不好意思群主,仔細(xì)看了應(yīng)該是 SQL 密碼 ,還是建議大家把各種密碼設(shè)置不同吧我就是設(shè)置一樣的惹的禍

作者: jsudi 時(shí)間: 2018-7-18 19:03

如果要進(jìn)行實(shí)際運(yùn)營(yíng) 還是要從APCHE 和 PHP 設(shè)置等等基礎(chǔ)的安全上學(xué) 好好的優(yōu)化否則等于裸奔哦我就是上當(dāng)了被黑的很慘一個(gè)站被下木馬整個(gè)服務(wù)器遭殃了還是自己太過于信任WDCP 還是從基礎(chǔ)安全學(xué)習(xí) 考量吧

作者: Miker 時(shí)間: 2018-7-31 23:28

回復(fù) 11# jsudi

使用面板過程中，基本安全常識(shí)還是要了解一下的，比如root密碼wd登錄密碼等，千萬(wàn)別一樣，還有弱口令，在不需要ssh的情況下，可以關(guān)閉ssh，ping也可以關(guān)閉掉的！

作者: b15365637 時(shí)間: 2018-9-11 22:50

回復(fù) 12# Miker

my明文也不怎么安全吧？

作者: lqingdong 時(shí)間: 2018-11-23 10:21

明文的確實(shí)不安全

作者: KK5756376 時(shí)間: 2018-11-24 16:01

怎樣才能找回wdcp密碼

作者: admin 時(shí)間: 2018-11-26 12:12

如果要進(jìn)行實(shí)際運(yùn)營(yíng) 還是要從APCHE 和 PHP 設(shè)置等等基礎(chǔ)的安全上學(xué) 好好的優(yōu)化否則等于裸奔哦我就是上 ...
jsudi 發(fā)表于 2018-7-18 19:03

其實(shí)也沒這么復(fù)雜，一般的入侵或掛馬，要么是密碼太簡(jiǎn)單或不修改，要么是程序有漏洞apache，php就算是默認(rèn)的安全或配置，也不是一般人入侵得了

如果程序有漏洞不升級(jí)不修補(bǔ)，再apache,php如何配置安全，一樣有機(jī)會(huì)上傳

作者: admin 時(shí)間: 2018-11-26 12:13

明文的確實(shí)不安全
lqingdong 發(fā)表于 2018-11-23 10:21

明文存儲(chǔ)確實(shí)存在一定的隱患，新版本里，已經(jīng)做調(diào)整，不再是明文存儲(chǔ)
之前用明文存儲(chǔ)，也確實(shí)是考慮得不夠周全

作者: p270228163 時(shí)間: 2018-12-10 09:27

回復(fù) 2# admin

/www/wdlinux/wdcp/conf/phpmyadmin.conf這里還有 phpmyadmin 的后臺(tái)路徑

作者: p270228163 時(shí)間: 2018-12-10 09:29

/www/wdlinux/wdcp/conf/phpmyadmin.conf phpmyadmin 的后臺(tái)路徑
/www/wdlinux/wdcp/conf/port.conf phpmyadmin 的后臺(tái)端口
/www/wdlinux/wdcp/conf/mrpw.conf 后臺(tái)密碼

歡迎光臨 WDlinux官方論壇 (http://www.fsowen.com/bbs/)