全国400电话网上服务平台
强大号码库资源任选，方便，快捷，快速开通。
咨询热线：400-1100-266
强大号码库资源任选，方便，快捷，快速开通。
咨询热线：400-1100-266
dedecms教程：浅析织梦系统投票模块漏洞的解决方
POST TIME:2020-04-04 18:16
打开/include/dedevote.class.php文件，查 找$this->dsql->ExecuteNoneQuery("UPDATE `dede_vote` SET totalcount='".($this->VoteInfos['totalcount']+1)."',votenote='".addslashes($items)."' WHERE aid='".$this->VoteID."'");
修改为
$this->dsql->ExecuteNoneQuery("UPDATE `dede_vote` SET totalcount='".($this->VoteInfos['totalcount']+1)."',votenote='".mysql_real_escape_string($items)."' WHERE aid='".mysql_real_escape_string($this->VoteID)."'");
注：
* addslashes() 是强行加；
* mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；(PHP 4 >= 4.0.3, PHP 5)
* mysql_escape_string不考虑连接的当前字符集。(PHP 4 >= 4.0.3, PHP 5, 注意：在PHP5.3中已经弃用这种方法，不推荐使用)
修改为
$this->dsql->ExecuteNoneQuery("UPDATE `dede_vote` SET totalcount='".($this->VoteInfos['totalcount']+1)."',votenote='".mysql_real_escape_string($items)."' WHERE aid='".mysql_real_escape_string($this->VoteID)."'");
注：
* addslashes() 是强行加；
* mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；(PHP 4 >= 4.0.3, PHP 5)
* mysql_escape_string不考虑连接的当前字符集。(PHP 4 >= 4.0.3, PHP 5, 注意：在PHP5.3中已经弃用这种方法，不推荐使用)
Copyright © 2003-2016
时间：9:00-21:00 (节假日不休)
版权所有:巨人网络(扬州)科技有限公司
总部地址：江苏省信息产业基地11号楼四层
《增值电信业务经营许可证》 苏B2-20120278
时间：9:00-21:00 (节假日不休)
版权所有:巨人网络(扬州)科技有限公司
总部地址：江苏省信息产业基地11号楼四层
《增值电信业务经营许可证》 苏B2-20120278
