如何补上dede55漏洞

第一PHP语言本身漏洞相当多，尤其是很多人不喜欢用最新版本，现在PHP8都发布了，现在竟然还有一大批人用PHP52，越早的版本漏洞越多。漏洞多自然就好做渗透。

第二PHPweb框架漏洞也非常多。国内最常用的PHP框架thinkphp经常爆出各种严重漏洞，比如5x的远程可执行命令漏洞，导致大量使用此框架的网站中招。这个漏洞利用之容易，做个程序可以随便感染一大批网站。有的人利用这个漏洞拿到的肉鸡多到自己都数不过来。

反观Javaweb，大多数人都会用sprint全家桶。而SpringMVC和Springsecurity提供的安全认证，起安全性都是非常强的。

虽然Spring也出一些漏洞，但是我印象中还没有出过非常容易利用，非常简单就能拿到最高权限的傻瓜式漏洞。

第三网上劣质php源码最多。很多人是根本不具备独立编程能力的，这些所谓的“程序员”最喜欢干的事是去网上下载各种免费源码，然后改吧改吧就算自己做了网站了。

这种免费源码，以PHP居多。什么的dedeCMS，什么xxshop，xxmall，微盟，这里垃圾PHP源码简直是千疮百孔，漏洞百出。可以说是黑客们的最爱。用这类垃圾源码最的网站，随便一个中学生捣鼓捣鼓就能入侵，简直和裸奔没啥区别。

同时，会用这些垃圾代码做网站的程序员，一般水平都不会太高，按理说连编程入门都算不上。这些所谓程序自然根本无法做到防止黑客入侵。

第四很多人安全意识太差。不管你用什么语言做网站，大多都要在网站程序外在跑一个Nginx，apache，或者IIS。即使使用Java，Nginx做反向代理+静态处理，后面再加tomcat的构架也很多。

凡是，很多人要么是技术不到位，要么是偷懒，不去自己编译tomcat或者apache，而是用网上现成的的一键安装包或者傻瓜安装程序。这些程序可能会默认安装PHP支持。

也就是说，一些安全意识不强或者水平比较差的程序员编写的javaweb很有可能也会支持PHP。

很多人在入侵提权的时候，不管你是什么网站，都会先试一下PHP能不能执行，入侵几率比较高。

关于最后一个问题，如果你找到了Javaweb的漏洞，可以上传文件了，下一步要做的就是提权。这个时候你直接上传Java源代码是没有用的。php是动态执行的，源码可以直接被执行，而Java则需要编译。

拿到上传权限后想提权，就必须先弄清楚对方服务器的jre版本，然后再本地用相应的版本编译后，再把jar包传上去，才能够执行。

这里还有一个不同，一般php提权，只需要拿到网站根目录的上传权限即可。但是Javaweb很有可能网站的根目录，和存放可执行jar包的目录不是一个目录，想要执行Java代码，你就必须想法拿到jar包所在目录的上传权限（同时也要拿到网站根目录权限），这是一个难点。

首先可以明确的告诉你，DedeCMS的0day漏洞很多，而且也有一年多时间没有维护了。所以网上“流传”DedeCMS不安全、漏洞多是真实的情况，但这也洽洽说明dedecms在以前的确很火。

DedeCMS后台功能上是很齐全的，而且操作起来简单，用来二次开发也比较容易，所以在前几年受到不少套网站的程序员的热爱。正因为如此，再加上它是开源的，所以不少人发现漏洞后就开始攻击基于这款CMS的网站，每次一曝出漏洞，受到影响的网站很多。

考虑到现在官方也没维护了，所以建议大家选择其它CMS，比如PHPCMS在安全性上就给DedeCMS要好得多；而且现在PHP版本都比较高了，DedeCMS在这些高版本的PHP环境下运行会存在一些兼容性问题。

如果你的网站现在用的就是DedeCMS那建议作好安全加固措施，比如：

若网站没有交互，可以全站生成静态页，然后静态页单独部署，将后台和前台分离，这样别人无法攻击动态脚本；

源码目录权限严格控制，避免权限过大导致的非法文件可以上传或者可执行。

综上，DedeCMS不建议选择。

可以在系统后台直接进行升级，或者下载安全补丁，在这里再次提醒对服务器安全设置要注意：

03-22文件修复列表

plus/searchphp, 修复导致跨站脚本攻击错误

plus/listphp, 修复导致跨站脚本攻击错误

03-10文件修复列表：

include/datalistcpclassphp, 增加一个信息过滤使之更严谨

include/dedesqlclassphp, 增加日志无法浏览的特殊处理

plus/digg_ajaxphp, 常规问题修复

plus/digg_framephp, digg常规问题修复

plus/comments_framephp, 评论常规问题修复

plus/votephp, 修复一个投票编码错误（UTF-8版本）

或者可以下载补丁包：

http://updatenewdedecmscom/Patch/Patch20100309zip

一经常检查网站数据

一般被挂马的网站大部分是长期无人管理维护的网站，尤其是一些企业网站，包括前文提到的我的2个被挂马的网站就是由于一些原因长期没有管理维护的原因，后来是域名要到期了续费之后顺便检查下了网站就发现被挂黑链了。目前黑链市场依然还很火爆，所以尽量定期抽出时间检查下你不常更新的网站。

二dedecms系统漏洞

由于dedecms的流行，用dedecms仿站成了被黑客攻击的目标之一，从dedecms51到现在的57，依然有部分漏洞，用dedecms做的网站要注意以下几点，

1修改默认后台（dede）路径

2删除install安装目录

3如果不需要使用会员可以直接删除member目录

大部分黑客入侵dedecms网站就是利用会员投稿功能，上传木马文件。

三禁止重要文件和目录被执行、写入

dedecms系统网站可以做如下设置

1以下目录：data、templets、uploads、a设置可读写不可执行权限。

2以下目录：include、member、plus、dede设置为可读可执行不可写入权限。

目前很多使用discuz和phpwind制作的网站也被入侵就是由于重要目录和文件权限没有设置好。

四网站被入侵以后如何处理

1用备份文件覆盖

2没有备份的话，找出最近被修改的文件，查看这些文件是否包含恶意代码。

3找出网站程序多出的文件，重点注意网站根目录是否有未知文件。

五ftp和服务器安全设置

建议使用linux服务器，ftp和服务器用户名和密码要设置复杂点，尽量用字母+数字+特殊符号，使用独立服务器或者vps的要详细了解服务器安全配置方面的教程，确保服务器安全。

修改downloadphp（网站根目录/plus/downloadphp）

将header("location:$link");

替换为

if(stristr($link,$cfg_basehost))

{

header("location:$link");

}

else

{

header("location:$cfg_basehost");

}

对link参数做判断，对不是同域名的跳转给予提示，将非本站域名跳转到网站首页，以免出现钓鱼欺诈行为。而scanv也不会再提示低危风险漏洞了。