امنیت در FCKEditor و CKEditor

[Mag-Mag]

چون بارها دیذم که دوستان در مورد ضعفی در این ادیتور ها صخبت می کنند که کار رو برای هکر ها اسون می کنه.گفتم این پست رو بذارم

نکته بسیار مهمی در استفاده از این ادیتور ها وجود داره که خواهش می کتم روش خیلی دقت کنید.

اون هم اینه که اگر session هاتون رو تنظیم نکنید افراد می تونن بدون لاگین کردن از این ادیتور ها استفاده کنند.و در مسیر سایت شما به راحتی هر فایلی که می خوان رو اپلود کنند

برای رفع این نکته می باست در مسیر ادیتور به این ادرس برید
FCKEditor\Editor\filemanager\connectors\aspx
و بعد فایل config.ascx رو باز کنید
و در تابع CheckAuthentication اونجا خالی نبودن session یوزر هاتون رو بررسی کنید


private bool CheckAuthentication()
{
if (Session["UserId"] == null || Session["UserId"] == "")
return false;
else
return true;
}


اونجا خودش هم این توضیح رو داده

[hlikehamed]

سلام
ادیتور جدید این مسیری که گفتی رو نداره. در واقع هیچ فایل aspx ی نداره. توی نسخه جدید هم این مشکل وجود داره؟ اگه آره تنظیمات سشن توی کدوم قسمت باید انجام بشه
در ضمن توی نسخه جدید که آبلود جداگانه و پولی هست ، من یک هندلر به صورت دستی برای ابلود تصاویر بهش اضافه کردم.

[Mag-Mag]

سلام
ممکن ادرس این باشه

FCKEditor\filemanager\connectors\aspx

در مورد ورژن جدید من چیزی نمی دونم که این ادرس ها رو داره یا نه

مشکل در قسمت اپلود فایل هست یعنی CKfinder
اگر شما برای اپلود فایل از filemanager این ادیتور ها استفاده نمی کنی ، خوب مشکلی هم نیست به احتمال زیاد.

[hlikehamed]

نسخه قدیمی رو میدونم از همین تکنیک برای لوگیم استفاده می گردم.
اما به تازگی سوئیچ کردم به نسخه جدید می خاستم بدونم اون هم همین مشکل رو داره یا نه
توی نسخه جدید چون ckfinder پولی هست یه هندلر اضلفه کردم برای آپلود

فکر کنم متوجه مساله شدم. اگر هم قرار باشه چک کنم باید توی همین هندلری که نوشتم کنترل رو انجام بدم

تشکر

[zarnoosheh]

این مشکل تو بعضی از ادیتور های دات نتی هست :شیطان:
از ادیتور های اسکریپتی استفاده کنید ، این مشکا رو ندارن .


http://smileweb.ir