当心被黑 慎用eWebEditor在线编辑器(3)

    5. 后台验证漏洞

    该功能组件后台页面都调用Admin_Private.asp进行验证是否是合法访问，代码如下：

If Session("eWebEditor_User") = "" Then
 Response.Redirect "admin_login.asp"
 Response.End
End If

    只是简单的判断了Session("eWebEditor_User")是否为空，为空则返回登录页面，如果该网站在虚拟机上，在另一个网站有一个文件有如下代码：

Session("eWebEditor_User") = "lovexyskyhaha"那么我们访问该文件之后再访问eWebEditor的后台相关页面，我们就是合法用户了，当然可以进行相关的后台操作啊。

    漏洞修补

    1.针对默认账号密码漏洞当然是修改一下默认的admin账号密码了，后台有这个功能的，就不要偷懒了。

    2.针对默认数据库漏洞当然是修改一下默认的数据库名称或者路径，可以考虑防下载处理，另外账号密码不要太简单，防止暴破出来。

    3.针对上传漏洞的修补大家很可能是把asp、cer、asa、cdx等通通加进去过滤一番，其实sAllowExt = Replace(UCase(sAllowExt), "ASP", "")这样子过滤我们还可以在上传图片类型里加一个aaspsp格式，这样经过replace函数过滤后的格式正好是asp，其它的同理。另外如果网站支持.NET攻击者也可能上传aspx格式的木马或者支持php的系统上传一个php木马，这个就看具体情况啦，个人认为像这样的上传漏洞如果可能最好严格限定图片上传格式，即限定为只能为哪些格式，而不是单个的过滤asp这些危险的格式；另外最好对上传后生成的图片文件的格式再进行检测，如果非法就进行处理，这个看程序员的个人爱好了。

    4.针对上传路径过滤不严漏洞解决方法当然是再过滤一下啊，但是如果在IsSafeStr()函数里把"/"过滤掉了以后上传路径设为UploadFile/也会报错的，所以还是在admin_style.asp文件里判断是否为"/"或者是跳转目录的"../"，这样比较保险。

    5.用Session验证是很难欺骗的，但在某些条件下也可能被利用，个人认为最好还是用Cookies与Session双重验证，同时限制非法人员直接访问。