商业源码 织梦的历史漏洞
你看下这资料
参考资料：
dedecms和phpcms是什么？
dedecms简介
织梦内容管理系统(DedeCms) 以简单、实用、开源而闻名，是国内最知名的PHP开源网站管理系统，也是使用用户最多的PHP类CMS系统，在经历多年的发展，目前的版本无论在功能，还是在易用性方面，都有了长足的发展和进步，DedeCms免费版的主要目标用户锁定在个人站长，功能更专注于个人网站或中小型门户的构建，当然也不乏有企业用户和学校等在使用该系统。
phpcms简介
PHPCMS是一款网站管理软件。该软件采用模块化开发，支持多种分类方式，使用它可方便实现个性化网站的设计、开发与维护。它支持众多的程序组合，可轻松实现网站平台迁移，并可广泛满足各种规模的网站需求，可靠性高，是一款具备文章、下载、、分类信息、影视、商城、采集、财务等众多功能的强大、易用、可扩展的优秀网站管理软件。
PHPCMS由国内80后知名创业者钟胜辉（网名：淡淡风）于2005年创办，是国内知名的站长建站工具。2009年，PHPCMS创办人钟胜辉离开PHPCMS，创办国内针对媒体领域的CMS产品CmsTop（思拓合众）。
2011-8-19 DedeCMS全局变量初始化存在漏洞
描述：可能导致黑客利用漏洞侵入使用DedeCMS的网站服务器，造成网站用户数据泄露、页面被恶意篡改等严重后果。
2012-3-21 DedeCMS官方源码被植入后门
描述：导致黑客可以执行任意代码从而控制整个网站或服务器
2013-3-29DedeCMS安全漏洞
描述：“本地文件包含漏洞”，发现时为“0day”，官方已修复
2013-4-1DedeCMS 爆SQL注入漏洞
描述：乌云平台曝光， “0day”，官方已修复
2013-5-2DedeCMS“重安装”高危安全漏洞
描述：被发现“0day”，通知官方修复并启用临时修复方案
2013-6-4DedeCMS 高危安全漏洞
描述：此漏洞为“0day”，官方已修复
2013-9-30DedeCMS 57版本高危漏洞
描述：乌云白帽子上报，“0day”，跨站脚本漏洞，可在前台插入恶意JS代码，黑客已经利用
2014-1-6DedeCMS会员投稿跨站脚本漏洞
描述：攻击者可通过“会员投稿”插入恶意代码，后台管理审稿时“中招”可导致网站被黑
2014-2-17swfuploadswf跨站漏洞
描述：该漏洞乌云平台上报，站长反馈网站在检测时检测出此漏洞，已提供修复方案
2014-3-4DedeCMS多个安全漏洞
描述：包括2个高危及多个曾经预警的官方没修复的漏洞。官方发布补丁修复但没有全部修复
2014-03-05dedecmsV5738 GBK正式版20140305常规更新补丁 member/soft_addphp修复功能错误及存在的漏洞member/soft_editphp修复功能错误及存在的漏洞include/filterincphp修复功能错误及存在的漏洞2014-03-11dedecmsV5739 GBK正式版20140311常规更新补丁 data/module/606c658db048ea7328ffe1c7ae2a732fxml新增畅言模块include/helpers/channelunithelperphp模板标签解析功能完善include/inc/inc_fun_funAdminphp更新提示站点迁移完善include/taglib/flinklibphp友情链接标签缓存完善2014-03-13dedecmsV5740 GBK正式版20140313常规更新补丁 include/helpers/channelunithelperphp修复一个标签解析错误2014-11-28DEDECMS官方网被黑，黑客在织梦服务器端植入恶意代码，所有织梦用户访问后台时会提示下载1exe文件，该程序为后门，一旦下载便会感染成为远控端，而且该病毒会实现反复感染。如果用户为IE浏览器，则会直接感染成为远控端。
1、下载安装包，登录织梦官网或百度搜索DEDECMS官方网站，目前最新版本为V57。
2、上传系统源文件，把压缩包内的upload目录下的文件上传到你的虚拟主机空间（或者服务器）。
3、运行安装程序，直接访问你的网站域名，系统自动跳转到安装向导页面。
4、许可协议，选中我已经阅读并同意此协议点击继续，这里系统跳转到环境检测页面。
5、环境检测，点击继续进入参数配置。
6、参数配置-数据库设置，填写连接信息，数据表前缀建议不要用默认的dede_。
7、参数配置-管理员初始密码，设置后台超级管理员的用户名和密码，注意一定要修改，默认都是admin可以说就是一种漏洞。
8、参数配置-网站设置及测试体验数据，注意这里不选择体验数据。
9、安装模块，系统自动安装选择的功能模块，例如最近加入的畅言评论模块。
10、安装完成，可以登录后台看看效果
11、登录后台，输入刚才设置的超级管理员账户和密码。
12、安装及检查完毕。
DEDECMS很容易入门，用的人多，漏洞也多，所以安装完之后要进行安全性设置。
求采纳。纯手打。
参考下面方法
首先，打开后台——模板——默认模板管理——indexhtm
看到有一句，
rel="stylesheet" media="screen" type="text/css" />说明，模板是根据这个 CSS 来布局网
页的，于是就打开网站目录下面的templets\style\dedecmscss然后来分析一下CSS的构成。
根据主页的调用，来研究 CSS 这样容易理解。打开主页模板，找到：
那么 w960 center clear mt1 都定义了什么呢？打开 DEDECMSCSS 找打相关的定义。
center{
1 margin:0px auto; 定义了CSS 模块的边缘位置都是 0，也就是这个center 的层
距离上右下左都是 0px;
2 }
3 w960{
4 width:960px; 定义了整体的宽度为 960px;
5
6 }
7 pright infos_userinfo {
8 margin-bottom: 0px; 定义了首页右部下的互动中心的下面边缘为 0px;
9 }
10 mt1{
11 margin-top:8px; 定义了mt1 的顶部边缘为8px;
12 }
13 pright mt1{
14 margin-top:0px; 定义了pright 下面的mt1 顶部边缘为0px;
15 }
16 mt2{
17 margin-top:16px; 顶部边缘为16px;
18 }
19 clear{
20 overflow:hidden; 如果clear 层里面的内容超出了 层的范围 就隐藏起来。
21 }
这个pleft 的定义没有在dedecmscss 中，但是会发现一句
话
@import url("layoutcss");
@import url("pagecss");
这说明，在dedecmscss 中引用了 pagecss 和layoutcss 这两个样式表，于是就在
pagecss 中找到了pleft 的定义
pleft{
width:712px;定义了宽度
float:left;该层向左浮动
overflow:hidden;超出范围则隐藏
}
在该层下面调用的是新闻头条的内容，看看它的 css
index bignews{
width:424px;
height:400px;
float:right; 向右浮动
border:1px solid #DFF2F5;表示边框线用 #dff2f5 的实体颜色填充
background:url(/images/headbg-topgif) repeat-x;背景为 headbg-topgif 并且横
向平铺
overflow:hidden;超出则隐藏。
}
所以，看到头条的这部分是在 flash 幻灯片右边显示，并且加上了浅蓝色的边框线。
再来看看 onenews 是如何定义的。
index bignews onenews{
margin:0 3px 0 3px; 左右外边距分别空3 个像素
padding:7px 6px;上左内边距分别空7，6 个像素
border-bottom:1px dashed #EBEBEB;下边框加一个 #ebebeb 的虚线
}
所以看见头条的文章左右都有一定的距离，并且下面还有一个虚线显示
这个下面调用的是以往的头条，默认的有 4 篇文章，调用了d1 d1arc 2 个css
index bignews divd1{
padding:6px 10px;
clear:both;这句话是清除浮动，如果不加它，大家可以试试看，是不是 d1 这个层就跑到 头条的
右边了。
width:406px;
overflow:hidden;
}
index bignews divd1arc{
margin-right:12px;
width:190px;
float:left;因为此时要调用4 篇文章，改文章是 22 排列的，如果不加这个属性，新闻就应该垂
直排列了（因为刚才用 clear:both 清除浮动啦），大家试试看是不是这样的。
height:24px;
line-height:24px;行间距，即字体最底端与字体内部顶端之间的距离
overflow:hidden;
}
最新文章
下面看看 newarticle 这个css 吧，还是拿快学网的首页举例子，上面的这句是用来显示 “最近
更新”那几个绿颜色字的，看看它是怎么定义的。
index bignews divnewarticle{
height:24px; 高度
background:url(/images/new-articlegif) 8px 3px no-repeat;背景在x 轴8px 和y 轴
3px 出出现
font-size:0px;
color:#fff;
} 所以，能看到那个最近更新并且还有一个横条，其实它是个，大家右键另存为
看看就知道了
这里面调用了 c2 和ico1 两个 css
index bignews ulc2{
width:416px;
padding:0px 4px 0px; 内边距为 上0 右4 下0
clear:both;清除浮动 和上面的意思一样
overflow:hidden;
}
ico1 这个css 在layoutcss 中了。
ico1 li{
padding-left:16px; 指的是 新闻列表左内边距为 16px
background:url(/images/ico-1gif) 7px 11px no-repeat; 背景在7px,11px 处出现，所以看到最新文章的列表左边都有一个小黑点，这个小黑点就是 ico-1gif
}
到此，中部的头条新闻和最近更新已经分析完了。
看看flash 的 css 定义
index flashnews{
width:280px;
height:192px;
overflow:hidden;
float:left;这句决定了，flash 的新闻列表在 头条的左边显示。如果把 bignews 和flashnews
的float 属性互换一下应该是上面结果呢？大家试试看。
}
这边是特别推荐调用的样式，还是来看看 css
index latestnews{
width:280px;
height:200px;
margin-top:8px;
float:left;
}
index latestnews dl dd{
padding:2px 5px;
}
index latestnews ul a{
color:#555;
} 这里面就不用解释了吧，可以和上面的对照一下就能明白上面意思了。关键 dl dt dd 要弄明白
是什么意思。
dl 内容块
dt 内容块的标题
dd 内容
可以这么写：
标题
内容1
内容2
在layoutcss 中找到 tbox 的相关定义，其他的都不用罗嗦了，只有一句大家注意看一
下
tbox dt strong{
height:26px;
line-height:26px; !important;line-height:25px; 这一句是为了兼容 IE 和FF,比如
font-size: 12px !important;
font-size: 13px;
在 IE里面，由于 IE不理解 !important，则字体大小按照最后设定的 13px 展示
而FF 里面， !important 为提高优先级别，则字体大小按照 !important标记的12px 展示
某些css 某些代码在这两类浏览器里的显示是有差别的（注意这也是使用!important 的主要原因
所在），比如height: 21px;，在 IE6 和（IE7，FF）里显示就有差别，后者（IE7，FF）会比前
者（IE6）少一个像素。
padding-left:22px;
padding-right:4px;
display:block;//变成块级 ，因为strong 是内联元素，必须强制转换，不然的话是没有办法
定义padding 的。大家可以百度一下 内联元素看看。
float:left;
color:#397CBE;
background:url(/images/fbicogif) 5px 6px no-repeat;
letter-spacing:1px;
}
对于大多数想做网站的朋友来说，做网站首先想到的就是下载cms系统来做，但是cms系统很多，怎么选择呢根据百度权重和指数(反映用户数量)排名，下面收集国内最知名的几个cms建站系统。
一、PageAdmin
PageAdmin和动易、dede一样都是国内很老牌的cms系统，要明确分出谁好谁坏没有什么意义，每个系统都有自己的特点，pageadmin一向以高扩展，灵活性著称，在dedecms和phpcms的团队陆续解散，动易放弃免费用户后，pageadmin目前已是国内用户最多的cms系统，尤其在当前安全性要求很高的环境下，pageadmin载企业市场这块占据很大的份额。
二、帝国CMS
帝国cms以功能齐全而闻名，其他cms有的功能，帝国cms基本上都有，唯一缺陷是后台的体验比较差，界面还是10年前的，前台默认模板还是table，td结构。由于功能的齐全，主要用于资讯平台类网站的搭建，负载和扩展也是可圈可点，安全性也不错。
三、DEDECMS
DEDECMS从一开始就免费使用的策略上将用户量做到了最大，同时DEDECMS也是媒体曝光率最高的一家CMS，但创始人IT柏拉图离开后，DEDECMS几乎没有任何更新了，新的团队目前基本已经不打算维护，dedecms差不多5年没有更新过，安全性一直是诟病。如何如何解决系统的安全问题，只能看使用者的二次开发能力。
四、PHPCMS
在传世人淡淡风黯然离去时，很多的站长都在问失去了钟胜辉的PHPCMS还有多少价值，phpcms被酷六团队收购后，基本已经被边缘化，目前和dedecms一样处于无团队维护的地步。
五、动易
动易曾经是中国CMS行业的领跑者，中国的站长估计无人不知动易，动易系统模块很多，功能非常强大，但是动易因DLL的限制和系统的稳定性差，使得免费版差不多成鸡肋，随着其他cms的飞速发展，动易的用户量迅速下降。
目前动易主要专注于商业市场，动不动一个网站就是10几万，所以对于普通站长来说，动易已经不在选择中。
六、JTBC
在整个CMS行业里，JTBC提供的技术版本是最牛的，JTBC提供ASP版、PHP版和NET版下载，这样给用户的选择余地比较大，并且采取了“语言/代码/程序”两两分离的技术模式，纳入了模块安装文件的概念，全面的使用了模板包与语言包结构，极大的提升了二次开发的便利，但是JTBC从2004年做到现在，用户量依然还很小。
建站建站系统
0条评论