如何防止黑客利用新的DeDeCMS漏洞入侵

如何防止黑客利用新的DeDeCMS漏洞入侵,第1张

  织梦dedecms网站管理系统是目前最主流的开源网站管理系统之一,它以简单易用、功能强大、二次开发效率高等特点为广大站长朋友所推崇。本文详细介绍如何利用APMServ在本地搭建织梦所需要的PHP环境,并安装织梦系统的过程。希望新手站长朋友喜欢。

  1、软件准备:

  分别百度下载APMServ

526与织梦系统57

sp1。

  2、安装并配置织梦安装所需要的php环境

  使用APMServ可以非常方便的安装与配置织梦官方所需要的织梦环境。虽然织梦官方也有配置织梦环境的套件,但是总体来讲,APMServ还是安装织梦PHP环境的首选。

  1)解压安装APMServ

526。

  解压APMServ

526后,会有三个文件APMServ526_zipexe、APMServ解压缩说明txt与Readme-说明htm。

  双击运行APMServ526_zipexe,出现自解压对话框。这里有一个要点是:解压目录必须是全英文或数字,解压目标文件夹中不能有中文,否则会导致配置织梦环境失败。建议大家,解压到C盘或D盘根目录。我把它释放到D盘根目录,如下图。点击“释放”按钮。

  2)运行并配置APMServ

  打开“我的电脑”,找到D:APMServ526文件夹,双击APMServexe这个文件,出现配置织梦环境软件界面。如下图:

  点击启动APMServ那个绿色按钮,软件自动安装配置织梦安装必须的PHP环境。

  如果PHP环境安装配置正常,APMServ配置窗口底部会出现提示,Apache已启动,MySQL51已启动,如下图:

  如果其中某一项提示启动失败,则可以点击窗口右边的按钮“解决软件冲突问题”,可以看到这样的提示框,如下图,按照提示更改相关设置即可解决冲突问题。

  3)验证配置织梦环境是否成功

  在浏览器地址栏中输入地址:http://localhost/phpinfophp,如果出现出现如下图类似的界面,说明在本地配置织梦环境成功完成。

  3、安装织梦dedecms网站管理系统:

  1)解压dedecms57压缩包,你会发现docs与uploads两个文件夹,其中uploads文件夹是我们需要织梦源文件。将uploads文件夹里面的文件(不包括uploads本身)复制到文件夹D:APMServ526。

  2)打开浏览器,在地址栏输入地址http://localhost/install/indexphp并回车,出现如下界面,选择同意协议,点击“继续”。

  3)织梦环境检测:

  在如下图界面中,织梦系统会对本地计算机的PHP环境进行检测,如果检测通过,点击“继续”按钮,进行下一步。

  4)织梦参数设置:

  这里是织梦网站管理系统的核心配置,在本地安装织梦系统一般可以保留默认设置即可。这里需要注意的是,织梦管理员默认的用户与密码都是“admin”。直接点击“继续”,进行下一步。

  5)织梦dedecms管理系统安装完成。

  6)织梦网站管理系统使用说明:

  织梦网站管理系统安装完毕后,默认的织梦后台是:http://localhost/dede/,用户名与密码都是admin。

  织梦网站管理系统前台可以使用http://localhost/访问。

  在本地安装织梦dedecms网站管理系统图文教程到这里就结束了。当然,如果想要真正搭建一个织梦网站,还需要对织梦的安全进行一些必要的配置。大家可以参考爱易设计网站建设工作室的其他文章。本文爱易设计原创发布,原文地址:http://wwwieshejicom/News

/news_286html转载清保留爱易设计链接。

1网址+/install,直接输入显示的是“dir”,需要到install文件夹删除修改一些文件。

2indexhtml删除,indexphpbak去掉bak,install_locktxt删除

3刷新一下页面(网址+/install),进入安装dedecms的页面,接下来就是和安装时一样的步骤了

4注意事项

如果数据库数据还有用请先进行备份,重新安装不会替换模板。

开学了,返校了,又在宿舍上网了,但现在的校园网安全吗暑假中,DeDeCMS系统曝出了严重的漏洞,这个系统在很多学校的校园网中存在,黑客利用该漏洞就可以控制校园网,进行挂马、嵌入病毒……不过校园网中不乏电脑高手,下面我们就来看看“红帽”同学对自己学校网站的开学安全检测。

我的网名叫“红帽”,我猜每一个大学校园里,都有像我这样的一号人,我们对电脑充分的了解,面对互联网海洋时,就如同游泳池中的菲尔普斯一样。无论你需要找到什么东西,只要它存在于互联网之中,或者在互联网中生活过一段时间,我都能够帮助你找到源头,或者帮你把你感兴趣的东西弄到手。你猜对了,我就是黑客,活跃在校园里面的黑客。

我自认为算是高手,帮同学从别的黑客手里**回被窃的账号,在网吧让一个讨厌鬼不停的更换电脑,也曾经尝试着入侵NASA的计算机网络。

这段日子正是开学的日子,我准备对我的学校网站进行了一次安全检测。或许你要问,为什么要对自己学校的网站进行安全检测我们学校用了DeDeCMS系统(中文名称是织梦内容管理系统),这个系统在很多学校中被使用。

博弈主题:攻击DeDeCMS整站系统

技术难度:★★★★

重点知识:如何用新的DeDeCMS漏洞来入侵

DeDeCMS系统被很多学校使用并不能让我产生检测自己学校的网站的念头,真正让我产生这个念头的原因是这个系统最近曝出了严重的漏洞,不知道网管补上该漏洞没有,如果没有补上,大家回校后上校园网就危险了。

DeDeCMS身藏URL编码漏洞

这次DeDeCMS新出的漏洞是一个URL编解码漏洞,导致漏洞出现的原因是DeDeCMS的设计者在joblistphp、guestbook_adminphp等文件中对orderby参数未做过滤。黑客可以利用这些漏洞查询数据库的敏感信息,例如管理员密码、加密key等,一旦这些敏感资料被黑客掌握,要在校园网内挂马就是轻而易举的事情了,真危险。

小知识:编码是将源对象内容按照一种标准转换为一种标准格式内容。解码是和编码对应的,它使用和编码相同的标准将编码内容还原为最初的对象内容。编解码的目的最初是为了加密信息,经过加密的内容不知道编码标准的人很难识别。

实战入侵

既然知道了漏洞的成因,下面就来亲手检测一下。目前有两种方案可以实现DeDeCMS整站系统的入侵,一种是PHP脚本的入侵方案,采用这种方案,需要先在自己的本机调试好PHP解析环境,然后登录入侵的目标网站,在PHP环境中运行漏洞测试代码。不过这种方案实行起来相对复杂,因此我使用第二种进行检测,通过漏洞检测注入程序直接注入。

首先,登录学校的网站。然后打开《DeDeCMS漏洞注入检测程序》,点击“Target

Infomation”标签选项,在“URL”一项后面将寻找到的有DeDeCMS系统漏洞的网址复制粘贴到地址输入框,这里利用DeDeCMS的网站路径地址“/include/htmledit/indexphp”得到网站的物理路径。

在登录系统之后,复制浏览器地址栏中的网站路径,例如[url=http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren]http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren[/url],然后复制粘贴提交测试,粘贴完成后点击“Check”按钮,测试网站是否符合条件

1、下载安装包,登录织梦官网或百度搜索DEDECMS官方网站,目前最新版本为V57。

2、上传系统源文件,把压缩包内的upload目录下的文件上传到你的虚拟主机空间(或者服务器)。

3、运行安装程序,直接访问你的网站域名,系统自动跳转到安装向导页面。

4、许可协议,选中我已经阅读并同意此协议点击继续,这里系统跳转到环境检测页面。

5、环境检测,点击继续进入参数配置。

6、参数配置-数据库设置,填写连接信息,数据表前缀建议不要用默认的dede_。

7、参数配置-管理员初始密码,设置后台超级管理员的用户名和密码,注意一定要修改,默认都是admin可以说就是一种漏洞。

8、参数配置-网站设置及测试体验数据,注意这里不选择体验数据。

9、安装模块,系统自动安装选择的功能模块,例如最近加入的畅言评论模块。

10、安装完成,可以登录后台看看效果

11、登录后台,输入刚才设置的超级管理员账户和密码。

12、安装及检查完毕。

DEDECMS很容易入门,用的人多,漏洞也多,所以安装完之后要进行安全性设置。

求采纳。纯手打。

360发布通用php防护代码,其实最初是协助phpcms来防护安全用的,现在看来可以加入到任何有漏洞的网站里面,拿phpcmsv9问题,解决方案如下,其他网站以此类推!

1将360_safe3php传到要包含的文件的目录

2在页面中加入防护,有两种做法,根据情况二选一即可:

a)在所需要防护的页面加入代码

require_once('360_safe3php');

就可以做到页面防注入、跨站

如果想整站防注,就在网站的一个公用文件中,如数据库链接文件configincphp中!

添加require_once('360_safe3php');来调用本代码

常用php系统添加文件

PHPCMS V9 \phpcms\basephp

PHPWIND87 \data\sql_configphp

DEDECMS57 \data\commonincphp

DiscuzX2 \config\config_globalphp

Wordpress \wp-configphp

Metinfo \include\headphp

b)在每个文件最前加上代码

在phpini中找到:

Automatically add files before or after any PHP document

auto_prepend_file = 360_safe3php路径;

DABAN RP主题是一个优秀的主题,极致后台体验,无插件,集成会员系统
网站模板库 » 如何防止黑客利用新的DeDeCMS漏洞入侵

0条评论

发表评论

提供最优质的资源集合

立即查看 了解详情