OJS存在任意文件上传漏洞及解决方案

所属栏目:OJS期刊管理系统 来源: 丁老师原创 更新时间:2025-07-14 07:58 IP属地: 深圳
ojs期刊系统安装搭建
点击阅读全文

近期丁老师在对OJS期刊系统进行等保工作时,发现OJS一个安全漏洞,即任意文件上传漏洞,具体内容如下。

漏洞描述
任意文件上传漏洞(Unrestricted File Upload),是一种常见的Web安全漏洞,由于Web应用程序在实现文件上传功能时对上传的文件缺少必要的检查,使得攻击者可上传任意文件。利用该漏洞,攻击者可以直接上传Webshell(WebShell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境,也可以将其称之为一种网页后门)、病毒、恶意脚本等各种危险文件,可能导致服务器权限被直接获取,从而危及整个系统的安全运行。

测试过程
点击投稿系统,选择文件上传,可以上传任意文件,但是脚本文件会被替换成txt.但是可以上传html文件,造成xss,Url如下:

index.php/is/api/v1/submissions/202/files

关键特征

a.png

解决方案
1、对用户上传的文件类型采用白名单进行限制,且重命名文件名。
2、限定文件上传目录,且该目录不允许解析动态脚本文件。
3、更新Web服务器版本并进行正确配置,防止解析漏洞。

针对上述解决方案,如需专业技术修复,可以联系丁老师咨询。



下一篇:没有了

相关文章

OJS3.5.0rc2版本已发布

根据从OJS官网PKP获取的信息显示,最新版本的OJS3.5.0rc2版本已发布。丁老师第一时间下载并进行了安装测试。截至目前,已知有2个改动:1.设置-设置站点-设置向导/用户流程;2.增加期刊设置-用户角色-邀请功能;OJS3.5....

OJS3.3.x升级到OJS 3.5.x失败...

最近有一个同学,他们出版社使用的是3.3.0.13版本的OJS系统,最近自己在升级到3.5时,出现了错误,并且之前的数据全部丢失了,人都快吓哭了,联系丁老师进行了紧急修复。那么,是什么原因导致了OJS升级失败,如果遇到这种情况,又该怎么...

OJS无法加载插件页-TinyMCE and...

最近有一家秘鲁的出版社客户,在OJS软件的使用中,遇到了故障,插件页(plugin)一直在加载,页面一直在转圈,始终打不开,咨询了丁老师。故障图:初步分析:丁老师经过分析后,初步认为这是由第三方插件引起的故障,导致页面程序无法正常执行,...

如何安装搭建OJS期刊系统 - 详细教程

OpenJournalSystems(OJS)是一个由PublicKnowledgeProject(PKP)开发的开源软件(OJS专题介绍),旨在帮助学术期刊实现其在线出版、管理和传播的过程。OJS支持从文章提交到最终发布的整个流程,并...

推荐文章

谷歌学术Google Scholar介绍及文...

谷歌学术GoogleScholar(官网https://scholar.google.com)是谷歌推出的免费学术搜索引擎,可以用于检索全球范围内的学术文献、论文、专利、技术报告等专业内容。核心功能1.跨学科检索:覆盖自然科学、社会科学、人...

OJS插件管理Plugin页面一直加载打不开...

很多使用OJS的同学反馈,有时候突然OJS期刊管理系统的plugin页面打不开了,一直是个圆圈在转圈加载,却始终打不开页面,这是怎么回事呢?如图:其实,这是OJS出错了,原因是可能使用者开启或安装了某些与当前OJS版本不兼容的插件,OJS在...

OJS系统去除底部PKP版权图片的方法

很多跨境出版社使用OJS系统做期刊的朋友咨询,OJS系统底部的PKP版权图片能不能去掉呢?有什么办法吗?如图:这个logo当然是可以去掉的,需要修改theme模板主题文件。以OJS版本3.5为例,具体的方法是:1.打开\lib\pkp\te...

ojs系统提示无法上传图片的原因和解决办法

近日,出版社客户在使用OJS系统时,突然遇到这个问题Youdonothaveenoughspaceinyouruserdirectory.Thefileyouareuploadingis2917kbandyouhave12kbremaini...

QQ咨询 微信咨询