DedeCMS后台文件任意上传漏洞（media_add.php）的修复方法

网站迁移到阿里云后，可能会遇到一些安全提示。其中一种常见的漏洞提示如下：

漏洞名称：Dedecms后台文件任意上传漏洞

补丁文件：media_add.php

漏洞描述：Dedecms早期版本的后台集成了大量富文本编辑器，这些控件提供了文件上传接口。然而，Dedecms对上传文件的后缀类型未进行严格限制，这使得黑客能够利用这一漏洞上传WEBSHELL，进而获取网站后台权限。

要修复这个漏洞并不复杂，主要是对文件/dede/media_add.php或/你的后台名字/media_add.php进行修改。

解决方法：

1、打开dede/media_add.php文件，找到第69行或者通过搜索以下代码：

$fullfilename = $cfg_basedir.$filename;

将其修改为：

if (preg_match('#.(php|pl|cgi|asp|aspx|jsp|php5|php4|php3|shtm|shtml)[^a-zA-Z0-9]+$#i', trim($filename))) { ShowMsg("你指定的文件名被系统禁止！",'javascript:;'); exit(); } $fullfilename = $cfg_basedir.$filename;

在修改文件之前，请务必做好文件备份。完成修改后，将新的media_add.php文件上传至阿里云服务器，替换原有文件即可解决此问题。

通过以上步骤，您可以有效防止因文件上传漏洞导致的安全隐患，从而保障您的网站更加安全可靠。