安全：将Protector放置在DocumentRoot中会存在漏洞

发布者: phppp于 2009/1/9 9:30:00 16756次阅读
我们已了解到一个漏洞，如果将Protector放置在DocumentRoot中

这适用于所有版本的XOOPS，如果包含Protector的XOOPS_TRUST_PATH（或xoops_lib）目录放置在DocumentRoot中

正如我们之前一直与您沟通的（例如在本文指南：让你的XOOPS安装更加安全的指南中），最佳解决方案是将您的xoops_lib文件夹放在webroot路径之外。您还应该将xoops_lib的名称更改为不同的名称，并相应修改mainfile.php文件。

如果无法这样做，请添加.htaccess以保护您的Protector模块

order deny,allow 
 deny from all

.htaccess应放在/xoops_lib或XOOPS_TRUST_PATH的相应名称下。

如果服务器不允许或启用了.htaccess，请在您的服务器上关闭global_register。

如果无法执行上述任何操作，那么唯一的解决方案是从您的服务器中删除Protector模块，等待该模块的完全修复。

当然，最好的情况是拥有干净和安全的代码。不幸的是，我们错过了这个安全漏洞，但我们正在努力解决这个问题，并将尽快发布。