youpaishidifu c60e4ebc9b 加固-03(P0-02): 删除远程在线更新链（供应链 RCE 向量） ...

- admin/ajax.php: checkupdate / downloadupdatepacks / unzippacks 三个
  端点合并为统一禁用存根（返回 JSON "远程更新已禁用（安全加固）"）；
  原逻辑从作者第三方域 (download.wenquan6.cn / download.bwenquan.com)
  下载 zip 并解压到 Web 目录、再引导浏览器访问 install.php，
  攻击者控制该域即可向所有部署实例推送恶意代码（供应链 RCE）。
- 删除辅助函数 get_zip_originalsize() 与 getFile()（仅更新链使用）。
- admin/html/welcome.html 与 admin/welcome.html: 移除"检查系统更新"
  按钮及 function update() 整段 AJAX 链，替换为静态说明文案。
- admin/ajax.php: HTTP_USER_AGENT 比较改用 ?? 回退，消除无 UAgent
  客户端触发的 Notice（UAgent 会话锁定行为保持不变）。

验证: php -l 通过；登录态调用三端点均返回禁用 JSON；
UAgent 锁定对无 UAgent 客户端正确拒绝（code:-3）。

2026-10-10 11:21:25 +08:00

..

czkm.html

Initial commit

2019-12-09 10:23:56 +08:00

ddgl.html

Initial commit

2019-12-09 10:23:56 +08:00

dlgl.html

Initial commit

2019-12-09 10:23:56 +08:00

dljb.html

Initial commit

2019-12-09 10:23:56 +08:00

fksz.html

修复后台付款设置数据无法加载问题

2020-04-15 19:15:03 +08:00

ktsq.html

Initial commit

2019-12-09 10:23:56 +08:00

sqgl.html

Initial commit

2019-12-09 10:23:56 +08:00

tckm.html

Initial commit

2019-12-09 10:23:56 +08:00

tclb.html

Initial commit

2019-12-09 10:23:56 +08:00

tjtc.html

Initial commit

2019-12-09 10:23:56 +08:00

tjyy.html

Initial commit

2019-12-09 10:23:56 +08:00

userset.html

Initial commit

2019-12-09 10:23:56 +08:00

welcome.html

加固-03(P0-02): 删除远程在线更新链（供应链 RCE 向量）

2026-10-10 11:21:25 +08:00

xjsz.html

Initial commit

2019-12-09 10:23:56 +08:00

xqbj.html

Initial commit

2019-12-09 10:23:56 +08:00

xtsz.html

Initial commit

2019-12-09 10:23:56 +08:00

yhxt.html

Initial commit

2019-12-09 10:23:56 +08:00

yxrz.html

Initial commit

2019-12-09 10:23:56 +08:00

yygl.html

Initial commit

2019-12-09 10:23:56 +08:00