FCKeditor.Net_2.2安全修正版

FCKeditor为一开源多功能在线Web编辑器。官方网站:http://www.fckeditor.net/
相关安全文件参看:
《在.net中使用Fckeditor》 http://cliffever.cnblogs.com/archive/2006/05/09/395134.aspx
《FCKeditor 實戰技巧》http://www.jb51.net/html/200609/1206.htm
《asp.net下FCKeditor的安全问题》http://www.lvjiyong.com/item/fckeditor-safe

=======================
FCKeditor 安全问题(只指.Net_2.2版)

上传文件格式验证不严格(只客户端验证)。
FCKeditor目录没有设验证权限。
多余上传文件漏洞。

解决方法:
    可以查看修改过的FCKeditor.Net_2.2。
    站点下的FCKeditor目录进行安全设置,只允许制定用户角色的用户访问。
    将站点下不使用的多余上传文件删除。参看实例testFCKeditor。

FCKeditor.Net_2.2修改部分:
    1、FileWorkerBase.cs 添加上传文件扩展名验证函数与属性部分。
        使用方法跟设置UserFilesPath类似。
            Application["FCKeditor:UploadDeniedExtensions"]
            Session["FCKeditor:UploadDeniedExtensions"]
            System.Configuration.ConfigurationSettings.AppSettings["FCKeditor:UploadDeniedExtensions"]
        可以参看实例testFCKeditor。
        UserFilesPath属性配置部分"FCKeditor:UserFilesPath"可以设置成"虚拟站点目录"(类似与修改后的BasePath设置)。
    2、Uploader.cs
    3、FileBrowserConnector.cs
        以上两文件增加对上传文件类型的验证。
    4、FCKeditor.cs 文件BasePath属性默认为"~/FCKeditor/" 。

注:
    FredCK.FCKeditorV2.dll配件为DotNet 2.0配件。
    本修改部分在ASP.NET 2.0下调试通过。
下载此文件

(0)

相关推荐

  • FCKeditor.Net_2.2安全修正版

    FCKeditor为一开源多功能在线Web编辑器.官方网站:http://www.fckeditor.net/.相关安全文件参看:<在.net中使用Fckeditor> http://cliffever.cnblogs.com/archive/2006/05/09/395134.aspx<FCKeditor 實戰技巧>http://www.jb51.net/html/200609/1206.htm<asp.net下FCKeditor的安全问题>http://www.lv

  • Jquery.LazyLoad.js修正版下载,实现图片延迟加载插件

    从网上下载来的版本多多少少都有些BUG,尤其是加载后在IE6和IE7下图片闪动是个大问题,在网上查了很久,也没有找到相关的解决方案.没解决方案,就得发挥咱DIY的精神,自己想法解决,分析了BUG,理了理思路,结合前段时间我做弹出窗口特效的方法,解决了Jquery.LazyLoad.js的兼容问题,现将思路和方法与大家分享一下. 解决思路大致是两点,一是从LazyLoad本身的滤镜参数下手,发现有一个参数在IE6和IE7是可以用的,就是show,那么在IE6和IE7下用这个特效:二是IE8以上(包

  • js模拟弹出效果代码修正版

    模拟弹出效果代码修正版 从网上看到的代码,当文章内容较多时,总会提示 复制代码 代码如下: --------------------------- Windows Internet Explorer --------------------------- Internet Explorer 无法打开 Internet 站点 应该是页面没加载完,所以我判断下,等页面加载完了,再运行 复制代码 代码如下: window.onload=function(){ var oo = new fw.com.u

  • JS获得鼠标位置(兼容多浏览器ie,firefox)脚本之家修正版

    JS获得鼠标位置(兼容多浏览器ie,firefox)我们修正版 function mouseMove(ev) { ev= ev || window.event; var mousePos = mouseCoords(ev); //alert(ev.pageX); document.getElementById("xxx").value = mousePos.x; document.getElementById("yyy").value = mousePos.y; }

  • javascript 文字上下间隔滚动的代码 符合WEB标准 脚本之家修正版

    第一个 文字上下间隔滚动 修正版 符合WEB标准的文字间隔滚动JS代码 var marqueeContent=new Array(); //滚动新闻 marqueeContent[0]='14:25 HTML/JS互相转换工具-IE7兼容版'; marqueeContent[1]='14:25 css 在线压缩工具'; marqueeContent[2]='14:25 CSS整形与最佳化工具[压缩]'; marqueeContent[3]='14:25 JS Minifier js压缩'; va

  • python3.X 抓取火车票信息【修正版】

    代码是在源代码的基础上进行的修改.希望对你有所帮助! 实现后如图所示: 首先我们需要抓取一些基础的数据,各大火车站信息! import urllib from urllib import request import re url = 'https://kyfw.12306.cn/otn/resources/js/framework/station_name.js?station_version=1.8955' req = urllib.request.Request(url) r = urll

  • PHP初学者常见问题集合 修正版(21问答)

    1,如何连接连两个字符串? 答:在php中连接两个字符串可以直接使用"."操作符号,例如$newStr="Zhang"."san",在java中是使用"+"操作符号,不要混淆. 2,如何计算一个字符串的长度? 答:$str="test";$length=strlen($str);即使用strlen(str)函数. 3,如何按照某个分割符拆分一个字符串? 答:使用explode(delim,str)函数,例如

  • ASP超级链接和HTML函数正则表达式 修正版

    过滤超级链接 复制代码 代码如下: Function RegRemoveHref(HTMLstr) Set ra = New RegExp ra.IgnoreCase = True ra.Global = True ra.Pattern = "<A[^>]+>(.+?)<\/A>" RegRemoveHref = ra.replace(HTMLstr,"$1") END Function 过滤所有HTML代码 复制代码 代码如下: Fu

  • ASP Json Parser修正版

    但后来用的时候,发现一个问题,如果json比较单纯,就没什么问题,如果json中含有数组,由于vbs是不可以直接引用js中数组元素的,所以,导致无法访问json对象中的数组元素.试过很多种办法,pop啦,之类的,都不行.再查网上,也无果. 郁闷很久, 转而搜索"vbscript how to access javascript array",竟然给我找到一篇老外的文章.经过调试,发现老外的办法不错.访问不了的原因是没有定义相应的get方法.转而加入他这个get索引器,一试,ok了. 代

  • javascript getBoundingClientRect() 来获取页面元素的位置的代码[修正版]第1/2页

    document.documentElement.getBoundingClientRect下面这是MSDN的解释: Syntax oRect = object.getBoundingClientRect()Return Value Returns a TextRectangle object. Each rectangle has four integer properties (top, left, right, and bottom) that represent a coordinate

随机推荐