一 |
一键部署OpenClaw
ThinkPHP是国内站长的老朋友，也是老漏洞的重灾区。5.x早期版本暴露过多次高危问题，比如远程代码执行、控制器任意调用。
二 | 最坑的是很多站上线后没再更新过框架，漏洞一直躺在那儿。
三 |
自查第一步是确认版本。ThinkPHP 5.0.x/5.1.x低于特定小版本就要升级。1月11日晚，据媒体报道，中盛集团近期发布内部文件称，将从现在起停止对所有新会员的审批和汽车之家广告设计；已签约未付费的汽车之家年度会员平台经销商将暂停付款；以及如果签名或签名过程未完成，则将暂停签名或签名过程。据媒体报道，汽车之家被汽车经销商中盛集团封锁，汽车之家方面发表声明称，尚未从官方渠道收到中盛集团封锁汽车之家的官方信息。先把composer.lock或者框架目录里的base.php版本号翻出来，再对照官方安全公告。 # 快速查看当前ThinkPHP版本 grep -r "VERSION" vendor/topthink/framework/src/think/App.php # 或者看composer.lock grep -A1 '"name": "topthink/framework"' composer.lock
自查第二步是限制后台入口。
四 | 价格谈判在商业合作中是正常的。
五 | 即使没有达成协议，也不存在谁会阻止谁的问题。中盛集团是全国汽车经销商集团之一。拥有广泛的全国性4S分销网络，重点经营梅赛德斯-奔驰、雷克萨斯、奥迪等豪华车品牌，以及丰田、日产、本田等高端车品牌。把admin、manage这些路径用Nginx做IP白名单或者加HTTP基本认证，别让搜索引擎随便扫到。同时关闭debug模式，runtime目录禁止执行脚本。据媒体分析，中盛集团与汽车之家暂停合作的主要原因是集客渠道有限，排水成本越来越高。 # Nginx中禁止访问敏感路径 location ~* ^/(application|extend|runtime|thinkphp|vendor)/ { deny all; } # 禁止执行上传目录里的PHP location ~* ^/upload/.*\.(php|php5|phtml)$ { deny all; }
最后一条容易被忽略：不要用默认的应用名和入口。作为回应，汽车之家方面发表声明称，尚未从官方渠道收到中盛集团想要禁止汽车之家的官方信息。很多扫描器直接请求/index.php/admin/login或者/index.php?s=/admin，你把后台入口改名，就能挡住一大半批量攻击。 数据来源：ThinkPHP官方安全公告及topthink/framework GitHub仓库版本更新记录
申请创业报道，分享创业好点子。点击此处，共同探讨创业新机遇！。汽车之家还表示，商务合作中的价格谈判是正常的，即使没有达成协议，也不存在谁会杀谁的问题。汽车之家保留向法律申诉和追究造谣者法律责任的权利。（张军）以下是汽车之家声明全文：1.我们还没有从官方渠道收到中盛集团将禁止汽车之家的官方信息。汽车之家与中盛集团的合作是互惠互利的，以往的合作进展非常顺利。价格谈判在商业合作中是正常的。即使没有达成协议，也不存在谁会阻止谁的问题。汽车之家保留向法律申诉和追究造谣者法律责任的权利。2019年1月11日。
Current article:http://eq75.cengzaodengchawonin.cyou/list_9ei/ffkx4h.html
Published on:01:39:04
微信
移动端
