部署流程: 1、上传压缩包到更目录解压 2、访问你的域名/install进入自助安装 3、填写数据库信息 4、等待安装完成登录后台 你的域名/phpUser/index.php?m=login&a=i
这是 酒仙桥六号部队 的第 26 篇文章。全文共计2033个字,预计阅读时长8分钟。之前审计发现的PbootCMS2.0.3前台RCE,看了最近的版本更新漏洞被修复了,就放出之前的POC顺便看看能不能绕过补丁。 项目地址:https://github.com/hnaoyun/PbootCMS PbootCMS自己实现了一个模板标签功能,在解析{pboot:i
1. 单页面的简单实现留言板功能 2. 做了安全过滤,有效防止SQL注入与XSS等安全问题。 3. AJAX异步提交查询留言、提交留言功能。 4. 校验用户输入,确保输入有效。 5. ……
IOS端的APP渗透测试在整个互联网上相关的安全文章较少,前几天有位客户的APP数据被篡改,导致用户被随意提现,任意的提币,转币给平台的运营造成了很大的经济损失,通过朋友介绍找到我们SINE安全公司寻求安全解决方案,防止APP继续被篡改与攻击,针对客户的这一情况我们立即成立安全应急响应小组,对客户的APP以及服务器进行了全面的安全渗透。
织梦后台目录认识 基本的目录结构 ../a 默认生成文件存放目录 ../data 系统缓存或其他可写入数据存放目录 ../dede 默认后台登录管理(可任意改名) ../images 系统默认
留言板有个来源的字段,用来获取网页的地址。测试时发现在谷歌Chrome浏览器中,可以正确获取到网址来源,然后用火狐Firefox浏览器,却无法正确获取到网址来源。因为后台使用的是PHP,留言成功之后通过JS弹出alert提示框,然后再通过location.href跳转回留言页面。
file变量通过GET请求r参数获取文件名,经过了addslashes函数。第5行通过三元运算符判断文件是否为空,为空则载入files/index.php文件。反之赋值加载files/file.php(action=file)。这里的代码逻辑限制了只能访问files目录下的php文件(对文件进行了拼接
WordPress 一个非常的强大的特性就是可以安排定时作业,这个功能就是 WP_Cron 。但是对于普通用户来说这个功能显得很神秘,不知道自己的后台有哪些定时作业在跑,如果不懂编程,添加一个定时作业也是非常难的,毕竟操作 WP_Cron 的 API 是比较繁杂的。所以一个能对定时作业进行监控和管理的插件是很有必要的。
在做一个企业站的小项目,用户不希望登录到后台查看留言,而是希望留言能直接发送到自己的邮箱里,然后这样他就可以在手机上快速的处理这些用户的留言了。不过这个功能我自己开发的 fengcms 并不支持,而且目前没有了解php的朋友在身边。本着自己动手丰衣足食的精神,自己解决这个问题吧。
emcms是国内第一个开源外贸的网站管理系统,目前大多数的外贸网站都是用的semcms系统,该系统兼容许多浏览器,像IE,google,360极速浏览器都能非常好的兼容,官方semcms有php版本,asp版本,我们SINE对其安全检测的同时发现该系统存在高危的网站漏洞,该漏洞影响版本semcms 2.6 2.7 2.8,包括目前最新的semcms 3.2版本漏洞。
--.更新下拉代码,修正下拉文章重复的BUG; --.新增自定义诗词赏析名称; --.新增侧栏跟随自定义名称; --.精简代码; --.其他优化。
答:项目本身支持站内站外跳转,添加新的工具箱,你只需要在网站根目录创建一个文件夹,在文件夹内部就是你的工具箱,只需要在头部插入
现在先不用 css 和 javascript 先用纯 html php 写吧。 所以那些 嵌入式 <font size=.... 什么的看看就算了,不推荐如此使用。
http://127.0.0.1/index.php/install/index/complete.html
Ryan Boren 10月17号说 WordPress 2.7 已经 almost beta,从13号开始不再新增功能了,那么我也就下载测试下。
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集,旨在提高网络安全技术水平为目的,只做技术研究,谨遵守国家相关法律法规,请勿用于违法用途
WordPress Tweaks 是一个 WordPress 功能调整插件,它会在你的 WordPress 后台设置页面添加一个 “Tweaks” 子页面,然后你可以调整以下 WordPress 功能:
Bluecms是一个地方网站的开源的cms,在很多地方性的网站上应用还是不少的,今天在逛seebug的时候看到了一个漏洞的公告。 有公告但是这里还没有详情,很好奇我就去下载了一套源码看了看,好像这个c
Bluecms是一个地方网站的开源的cms,在很多地方性的网站上应用还是不少的,今天在逛seebug的时候看到了一个漏洞的公告。 有公告但是这里还没有详情,很好奇我就去下载了一套源码看了看,好像
腾讯微博开放了 API,并且支持 OAuth 协议,所以我继续开发腾讯微博连接这款 WordPress 插件,他能让你使用 QQ 号码登录 WordPress 博客。
Comment Reply Notification 是个 WordPress 插件,它只能在 WordPress 2.7 或以上的版本下工作。它是对 WordPress 2.7 版本新增 Thread Comments 的功能的一个有意补充。
对刚开始学习Dede织梦建站的同学,当在本地调试好网站上传到服务器后,在没有采取防护的情况下,网站很容易被挂马,挂马后,网站首页会被篡改,或者网站被恶意跳转到别的不相关的网站上。所以为了避免这种情况的发生,本站整理以一些关于“Dede织梦网站被挂马原因及解决办法”能帮助到大家。
Comment Fetion Alert 这个插件的主要功能是:当你的博客有新的评论时,就会通过飞信给管理员发送短信,提醒博客有新留言。该插件其实就是借用飞信的 API 给自己发短信,这样博客管理员就能随时了解到自己的博客的评论状态了,不需要经常刷新自己的博客,也能及时的和评论者互动,相当方便。
总结一些防止dedecms系统被攻击设置的方法,可有效的防止织梦系统被挂马,仅供各位站长参考。 1.安装时数据库的前缀不用dedecms默认的前缀dede_,可以改成其他的名称如diy_ 2.装好dede织梦cms系统后删除装文件install 3.修改织梦后台文件目录:把默认的dede改成其他名字 4.织梦后台后台密码尽量复杂化:密码应该由大写字母、小写字母和数字组成 5.将系统的data目录迁移到根目录以外:data目录是系统缓存和配置文件的目录,一般都有可以读写的权限,只要是能够写入的目录都可能存在安
很长一段时间没有看到评论了,开始的时候以为是Akismet 起了作用,把一些乱七八糟的垃圾评论给屏蔽了,到今天感觉不对,一般几个朋友也会来博客转转,留言。怎么最近一条没有,于是退出登录,然后测试了下,无法评论,用管理员帐号登录也无法评论,于是满脸黑线的找是哪出了问题。 试了下关掉后台的评论审核,再进行评论,显示404页面。然后觉得是模板问题,换了几个模板还是无法评论。在网上搜了下,得出几个结论,然后整理了下,给大家看下。 1、是后台-设置-讨论里设置问题,去掉评论审核,试下。 2、可能是评论管理插件比如B
双 11 光棍节,我在博客发布了一篇给博客部署一个友好对话框的教程,用了几天感觉非常不错!就进一步折腾了一下,目前这个 js 已实现以下多种功能: 一、功能描述 ①、能够取得访客的搜索来路和搜索关键词
hello,大家好,在升级到最新版的zblog之后还是存在部分问题的,比如不能发布emoji表情,这个官方已经给出来了最新的解决办法:zblog不能发布Emoji表情怎么回事 还有一个问题部分网友也遇到了,那就是升级只有不能登录博客后台,正常的逻辑思维是,在后台检测更新,提示可以升级到zblog1.6,然后点击升级最新版,之后在升级的过程完成会会弹出一个新的界面,提示页面错误需要重新登录,然后重新登录就可以了,但是部分网友无法重新登录,原因就是在网站设置里,开启了网站的“固定域名”所以导致无法登入,那么怎么修改呢?
我听到很多人的抱怨,WordPress 效率很低,废话,WordPress 接口的开放必然就会造成效率有些低,然后你又装个30多个插件,效率不低才怪呢。但是有些插件是必须有的,那怎么办呢?如果你懂 PHP 的话,其实还有办法提供速度的,下面我提供一些我的方法:
首先我所了解的推送产品有信鸽、个推、极光,之前用到过个推,感觉还不错,只是代码没有极光简洁,信鸽是腾讯旗下的产品,出于对Tencent的不喜欢,就没有考虑过,其次目前公司之前用过极光,ios和安卓这边对极光比较熟悉,所以就决定用极光推送了。
本次演示采用原生javascript + php 实现ajax的 post 和 get 功能;
├── assets │ ├── audio // 鼠标划上去的音效文件 │ ├── background // 动态背景文件 │ ├── css // 主题样式目录 │ │ └── joe.min.scss // 全局样式文件,优先PC端 │ │ └── joe.responsive.min.scss // 自适应样式文件 │ │ └── joe.setting.min.scss // 后台外观设置的样式文件 │ │ └── OwO.min.scss // 评论
幻想领域 哇塞,终于有一款属于自己的图床了. 幻想领域是使用 PHP 语言开发的一款轻量级的新浪图床系统. 它的诞生,并不是最终的解决方案,开发它的目的是为了方便自己使用. 项目主页 传送门 项目地址 传送门 系统介绍 在 幻想领域中, 图床图片全部托管在 新浪云, 每张图片都有多张不同级别的缩略图.这便是幻想领域的最大特色之一. 拥有较为完善的用户系统与管理员系统。管理员在后台拥有完全权限,对网站的一切基本配置 我的图库,将会罗列出用户自己所上传的所有图片,管理员则显示系统托管的所有图片.你可
0x00 背景 上周,发现了finecms的一些后台的洞,斗哥先从配置文件写入开始分析,然后再结合本篇的存储XSS进行GetShell,本篇分析下存储XSS的问题,最终通过这两类洞的组合利用GetShell,期待与师傅们的交流讨论。 0x01 审计过程 0x00 相关环境 源码信息:FineCMS v5.3.0 bulid 20180206 问题文件: \finecms\finecms\system\core\Log.php 漏洞类型:存储型XSS 站点地址:http://www.finecms.ne
每次发表日志时发现有“设为特色图片”功能,但设定后前台并没有显示,显然是和主题有关,可能主题文件中没有载入。于是便想着加入这个功能,经过各种方法查找,终于完成。 第一步,在你的改款主题的functions.php加入如下代码:
HI,大家好,首先先介绍下大家比较关心的几个问题,首先需要安装zblogPHP版本(一般来说安装最新版即可),不会安装的查看此地址:zblog安装图文教程,附zblog主题下载及使用教程,程序安装完成之后,需要下载和开启主题,如果您是在应用中心购买的,可以忽略前半部分,直接查看主题设置内容接口,否则请继续查看教程。
Google Friend Connect 是 Google 推出的社会化网络工具,Google Friend Connect 是一种类似于加入到你网站的 Widget 的社会化工具,通过此工具你可以将各种支持 OpenSocial 的应用都可以通过 Google Friend Connect 在你的网站上应用,并且可以已有的社会化网络进行整合应用。
早上刚上班就有新客户咨询我们Sinesafe安全公司反映说收到一条阿里云的短信过来,内容为:网站木马文件提醒018-06-20 09:20:49尊敬的***网:您的虚拟主机中有文件触发了安全防护报警规则,可能存在webshell网页木马,您可以登录虚拟主机控制台-对应主机的"管理"文件管理-网站木马查杀功能确认是否为恶意文件,相关帮助文档请参考网站木马查杀帮助。具体存在挂马的主机列表如下:IP地址域名
在前面的文章中老蒋也有分享过最近让小梁同学适应开发的ZBLOG PHP主题,第一款是单栏主题相对容易一些,双栏且带有侧边自定义侧栏的会需要兼容侧栏的样式,包括系统侧栏的样式,所以他开发进度慢一些。不过还算好在我们原先预估的时间内完成。
使用注意事项: 添加之前请阅读说明文档,并且标签不能相同,以免造成错误; 添加之后请务必不要删除或者修改标签(其他随意),以免造成以前信息不显示(如果不小心删除了,请重新添加或者修改回来);
各位好.我们是工尔科技工作室.长年从事php等web程序开发和二次开发的承接.
大家好,我是Leon-pi,可以叫我pipi,新人报道,是个菜鸟,由于个人也是在学习过程中,文章写的也不是面面俱到,尽善尽美,请见谅。
极致美观多功能的后台,让你的博客超脱平凡。EMLOG6.0.1-疯狂老司机出版由于版权问题等各种原因,EMLOG6.0.1作者疯狂老司机网站已崩。
HI又发布新主题了,这半年过的实属不易,如人饮水,冷暖自知啊,人类的悲喜并不相通,悲喜自渡是我们一生的必修课,无论怎样我们始终要相信人生总会有不期而遇的温暖和生生不息的希望! 所以我们新款主题的名称就是“希望”,有了希望就有奔头,我遵循的是1+1=N的风格,可能这也是很多人说我的主题模板风格很相似的原因吧。不管怎样,喜欢就好,毕竟追求源于热爱。先介绍下大家比较关心的几个问题,首先需要安装zblogPHP版本(一般来说安装最新版即可),不会安装的查看此地址:zblog安装图文教程,附zblog主题下载及使用教程,程序安装完成之后,需要下载和开启主题,如果您是在应用中心购买的,可以忽略前半部分,直接查看主题设置内容接口。
织梦dedecms是站长使用得比较多的一个建站开源程序,正因如此,也是被被入侵挂马比较多的程序。下面就来跟大家说一下怎么重新命名dedecms的include文件夹以及plus文件夹来提高网站的安全性,减少被黑客软件扫描到漏洞的概率。 dedecms的漏洞主要集中在data、include、plus、dede、member几个文件夹中的php文件里,对于data这个文件夹我们可以把它移到网站的根目录外,dede可以冲命名,member可以删掉,一般用不着,special专题功能 install安装程序(必
一般博客申请友链都会设置一个专门页面,想要申请友链的站长在页面下方进行留言告知,同意后再手动进行添加,这样一来可能出现添加友链网址输入错误等问题。
在《AMH 国内开源免费云主机面板安装与使用》一文中,有朋友给我留言推荐了Mdserver-web,这是一个个人开发的VPS主机控制面板,开源免费。试用了Mdserver-web后,发现Mdserver-web最大的特点就是后台的管理操作界面和宝塔面板后台基本一样,用起来会感觉很习惯。
KKCMS是基于PHP+MYSQL开发的开源CMS。可以直接在GitHub上下载就可以了。
今天又做了一回奥特曼(out man),居然才发现 360 的综合搜索变成了好搜!前几天,其实看到过一次好搜,但是以为又是 DNS 劫持出现的流氓搜索。 今天细看了下,居然是 360 综合搜索改头换面
领取专属 10元无门槛券
手把手带您无忧上云