WDlinux官方论坛 - Powered by Discuz! Board

标题: [BUG反馈] WDCP 重大漏洞密码为明文直接用PHP能读取到密码默认直接跨站 [打印本页]

作者: jsudi 时间: 2018-7-15 19:30 标题: WDCP 重大漏洞密码为明文直接用PHP能读取到密码默认直接跨站

最近,我的VPS上安置了几个网站用户,不知道是用户搞鬼还是网站织梦程序本身漏洞,导致被上传文件管理器,而且整个就跨站了,所有的网站都有木马程序,整个被人操控,我试了,无论在哪个空间搞一个file_get_contents(WDCP密码路径)这里不再细说了,你懂得,然后就读取到WDCP密码其他一些密码端口配置等等都是可以直接读取所以说这些写重大隐患,搞个MD5也好吧其他网站的文件更是随意读取修改这就是跨站最近被黑的太惨感谢WDCP 给我带来方便的同时也带来麻烦谢谢

作者: admin 时间: 2018-7-16 15:04

不知你是在哪里看，是明文，很好奇
而且，默认的数据库文件，也只有root用户可读写，其它用户是不可读的

作者: jsudi 时间: 2018-7-16 19:39

老铁,密码就在/www/wdlinux/wdcp/conf/mrpw.conf 明文的难道您不知道吗 ?

作者: 行者无疆 时间: 2018-7-16 22:44

刚测试了一下，这还真的是这样的。

作者: 月下凝眸 时间: 2018-7-17 10:31

刚刚看了一下，这里看到的是mysql密码，还真是

作者: jsudi 时间: 2018-7-17 11:12

看到的就是WDCP登录密码啊你说是SQL密码说明你登录密码和 SQL 密码一样的,其实其他的 FTP 密码也是明文的本来LINUX 都是文本形式存在只要获得路径一切都曝光了

作者: cqjian 时间: 2018-7-17 16:14

我前段时间也被人拿了后台，后来自己改了密码，如果这样有可能修改后的密码他们也有可能拿到。

作者: admin 时间: 2018-7-18 12:28

这个是mysql的密码，并不是wdcp的登录密码
为了小工具的方便用，确实是明文存储。不过一般用户是读取不到的
这个文件的默认权限，应该是600，其它的用户也读不到的
可以检查或重新设置一下
chmod 600 /www/wdlinux/wdcp/conf/mrpw.conf

作者: jsudi 时间: 2018-7-18 18:36

回复 8# admin

老铁,绝对是 WDCP 的登录密码这个不用质疑的您老人家还是先核实吧

作者: jsudi 时间: 2018-7-18 19:01

回复 8# admin

不好意思群主,仔细看了应该是 SQL 密码 ,还是建议大家把各种密码设置不同吧我就是设置一样的惹的祸

作者: jsudi 时间: 2018-7-18 19:03

如果要进行实际运营还是要从APCHE 和 PHP 设置等等基础的安全上学好好的优化否则等于裸奔哦我就是上当了被黑的很惨一个站被下木马整个服务器遭殃了还是自己太过于信任WDCP 还是从基础安全学习考量吧

作者: Miker 时间: 2018-7-31 23:28

回复 11# jsudi

使用面板过程中，基本安全常识还是要了解一下的，比如root密码wd登录密码等，千万别一样，还有弱口令，在不需要ssh的情况下，可以关闭ssh，ping也可以关闭掉的！

作者: b15365637 时间: 2018-9-11 22:50

回复 12# Miker

my明文也不怎么安全吧？

作者: lqingdong 时间: 2018-11-23 10:21

明文的确实不安全

作者: KK5756376 时间: 2018-11-24 16:01

怎样才能找回wdcp密码

作者: admin 时间: 2018-11-26 12:12

如果要进行实际运营还是要从APCHE 和 PHP 设置等等基础的安全上学好好的优化否则等于裸奔哦我就是上 ...
jsudi 发表于 2018-7-18 19:03

其实也没这么复杂，一般的入侵或挂马，要么是密码太简单或不修改，要么是程序有漏洞apache，php就算是默认的安全或配置，也不是一般人入侵得了

如果程序有漏洞不升级不修补，再apache,php如何配置安全，一样有机会上传

作者: admin 时间: 2018-11-26 12:13

明文的确实不安全
lqingdong 发表于 2018-11-23 10:21

明文存储确实存在一定的隐患，新版本里，已经做调整，不再是明文存储
之前用明文存储，也确实是考虑得不够周全

作者: p270228163 时间: 2018-12-10 09:27

回复 2# admin

/www/wdlinux/wdcp/conf/phpmyadmin.conf这里还有 phpmyadmin 的后台路径

作者: p270228163 时间: 2018-12-10 09:29

/www/wdlinux/wdcp/conf/phpmyadmin.conf phpmyadmin 的后台路径
/www/wdlinux/wdcp/conf/port.conf phpmyadmin 的后台端口
/www/wdlinux/wdcp/conf/mrpw.conf 后台密码

欢迎光临 WDlinux官方论坛 (http://wdlinux.cn/bbs/)