Dedecms common.inc.php 文件 SESSION 变量覆盖漏洞修复方案

阿里云后台近期提示用户，dedecms CMS common.inc.php 文件存在 SESSION 变量覆盖漏洞，该漏洞可能导致 SQL 注入问题。黑客能够通过 SESSION[SESSION[sqlhash]] 获取值，并将其作为 $query 带入 SQL 查询中。此漏洞的利用前提是服务器配置中 session.auto_start = 1，即自动启用了 SESSION 会话。

为确保网站安全，避免潜在风险，以下将详细介绍如何修复这一漏洞：

首先，我们需要找到并打开 /include/common.inc.php 文件。在文件中查找以下代码：


if( strlen($svar) > 0 && preg_match('#^(cfg_|GLOBALS|_GET|_POST|_COOKIE)#', $svar) )

接下来，将上述代码替换为以下内容：


if( strlen($svar) > 0 && preg_match('#^(cfg_|GLOBALS|_GET|_POST|_COOKIE|_SESSION)#', $svar) )

完成修改后，请记得保存文件并用新文件替换原来的 common.inc.php 文件。

通过以上步骤，您可以有效修复 dedecms 的 SESSION 变量覆盖漏洞。这样一来，阿里云后台将不再发出相关警告，同时您的网站也将更加安全。

此外，建议定期检查服务器配置和程序文件，及时更新到最新版本，以防止其他可能的安全隐患。如果您对 PHP 或 Dedecms 不熟悉，可以咨询专业技术人员进行操作。

希望这篇文章能帮助您解决 阿里云提示 dedecms common.inc.php 文件 SESSION 变量覆盖漏洞 的问题！如果您还有其他疑问，欢迎留言交流。

关键词：阿里云、dedecms、common.inc.php、SESSION 变量覆盖漏洞、SQL 注入、网站安全、PHP 修改

推荐阅读