发现一个不安全的变量

benba · 发表于 2009-3-3 16:41:31

今天在制作模板的时候看到SS7好像新出来了一个变量,好奇打印出来看看.结果发现暴出了一个安全问题.
这个变量可以打印出来MYSQL 配置的信息.如果某个网站模板制作者在分享模板的时候.用CSS 隐藏一个DIV 在这个DIV里打印出来这些信息加以利用的话后果不敢想像!!!这个变量管理员应该知道.请管理员重示.一直没有放弃SS 是因为SS的安全真的很出众!!现在我在模板里把这个变量给删了.!

星月迷梦 · 发表于 2009-3-3 16:48:32

不会把·····

寻找友情链接合作伙伴儿！联系QQ：3435539
周公解梦非主流 60078音乐网非主流音乐

koder · 发表于 2009-3-3 17:35:38

MYSQL 配置的信息? 是SS配置Mysql的用户的信息还是 Mysql的配置信息？

疯鼠 · 发表于 2009-3-3 17:43:40

程序需要建立数据库连接肯定要包含配置信息啊，要不php怎么运行呢？关键点是在于如何不让非管理员去在服务器上生成.php等可执行文件，这点comsenz的所有程序都很注意，而且公司有负责安全的部门每天都在检查代码。敬请放心

benba · 发表于 2009-3-3 19:54:01

程序需要建立数据库连接肯定要包含配置信息啊，要不php怎么运行呢？关键点是在于如何不让非管理员去在服务器上生成.php等可执行文件，这点comsenz的所有程序都很注意，而且公司有负责安全的部门每天都在检查代码。敬 ...
疯鼠发表于 2009-3-3 17:43

我经常发布模板。如果我心理不健康的话人家用root帐户我完全可以拿到服务器的shell 我觉得还是不要让模板引用这个变量好。我是为广大用户着想哦。我自己的模板都是自己写到无所谓！

304558580 · 发表于 2009-3-4 01:06:14

禁止不了的除非不用现在的模板类

zhangyaole · 发表于 2009-3-4 01:08:51

不是吧　　　

koder · 发表于 2009-3-4 15:22:21

发个给我看看是哪个变量？我觉得无非就是那几个全局的变量。

炉火纯青 · 发表于 2009-7-2 22:07:39

直接在模板里传个马，不是更不安全。。。

		自动登录	找回密码
密码			立即注册