Dedecms select_soft_post.php 任意文件上传漏洞修复方案

在使用阿里云服务器时，有时会在阿里云后台收到提示，指出存在一个名为“dedecms任意文件上传漏洞”的问题。这一漏洞的根源在于Dedecms CMS安装目录下的/include/dialog/select_soft_post.php文件。

具体来说，问题出现在获取完整文件名的过程中。由于没有对可能危害服务器的文件格式进行有效过滤，因此需要我们手动添加代码来解决这一问题。以下是具体的修复步骤：

首先，找到并打开/include/dialog/select_soft_post.php文件。在这个文件中，定位到以下代码：

$fullfilename = $cfg_basedir.$activepath.'/'. $filename;

接下来，在上述代码的上方添加以下代码片段：

if (preg_match('#\\.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) {
    ShowMsg("你指定的文件名被系统禁止！", 'javascript:;');
    exit();
}

这段代码的作用是通过正则表达式匹配，检测文件名是否包含潜在危险的后缀（如php、asp等）。如果发现不安全的文件类型，则会显示错误消息并终止程序运行。

完成代码添加后，请确保保存修改并替换原来的文件。随后，您可以返回阿里云后台重新验证该漏洞是否已被成功修复。

通过以上步骤，您不仅能够有效解决Dedecms的任意文件上传漏洞，还能增强服务器的安全性，防止恶意文件上传导致的数据泄露或其他安全风险。

注意：为了保证网站和服务器的安全，请定期更新CMS系统及插件到最新版本，并及时关注官方发布的安全公告。

推荐阅读