如何防止黑客利用新的DeDeCMS漏洞入侵

dedecms是免费的开源程序，是不收任何费用的，作为国内第一个开源的内容管理系统，DedeCMS在创建以来都在摸索中国互联网内容管理系统的道路，并且引领众多开源CMS前进的道路，程序由当年个人作品，现已组建团队，在提升用户服务、提高产品质量的同时，对中国网站内容管理系统进行研究，成为目前市场上最受欢迎的内容管理系统。

这就涉及到了浏览器的核心问题了！在回答你问题之前，声明一下，你应该给我加分！因为我的回答是专业而且全面的，而且知道答案的人往往不会在这里回答。

1就世界来说，浏览器核心只有四个。略过

就IE来说，采用了其中一个，叫做IE浏览器只是因为IE做得比较NB。其实真名叫Trident，使用代表就是IE。

2IE因为做得NB了，步变得有点王八了，到了做IE6的时候，想要确立一下老大地位，让他的浏览器成为一种标准，限制其他人的发展。就做了很多出格的事情，为后来的发展埋下祸根。

3IE在七八的时候意识到了问题，所以又回归了国际化正常化。

4到了IE9，他又有点发神经了。

这就造成了IE6和IE9在浏览一些网页的时候不兼容。我在犍为吧对这个有专门的说明，wwwqianwei8com也有这方面的问题，但是通过改代码解决了。遇到这种问题是很头疼的，你必须去为IE6和IE9专门写段专用代码，也就是给他看的。特别需要注意的是，如果你的网站主要是用户是国内的，你就必须要为IE6做功夫了。

国内所有浏览器都是以IE6为核心的，包括自称是双核的搜狗，二核中的一核也是IE6。根据CNCC的报告，加起来的话，国内超半数用户还在用IE6。你不可能放弃的对不对。

开学了，返校了，又在宿舍上网了，但现在的校园网安全吗暑假中，DeDeCMS系统曝出了严重的漏洞，这个系统在很多学校的校园网中存在，黑客利用该漏洞就可以控制校园网，进行挂马、嵌入病毒……不过校园网中不乏电脑高手，下面我们就来看看“红帽”同学对自己学校网站的开学安全检测。

我的网名叫“红帽”，我猜每一个大学校园里，都有像我这样的一号人，我们对电脑充分的了解，面对互联网海洋时，就如同游泳池中的菲尔普斯一样。无论你需要找到什么东西，只要它存在于互联网之中，或者在互联网中生活过一段时间，我都能够帮助你找到源头，或者帮你把你感兴趣的东西弄到手。你猜对了，我就是黑客，活跃在校园里面的黑客。

我自认为算是高手，帮同学从别的黑客手里**回被窃的账号，在网吧让一个讨厌鬼不停的更换电脑，也曾经尝试着入侵NASA的计算机网络。

这段日子正是开学的日子，我准备对我的学校网站进行了一次安全检测。或许你要问，为什么要对自己学校的网站进行安全检测我们学校用了DeDeCMS系统(中文名称是织梦内容管理系统)，这个系统在很多学校中被使用。

博弈主题：攻击DeDeCMS整站系统

技术难度：★★★★

重点知识：如何用新的DeDeCMS漏洞来入侵

DeDeCMS系统被很多学校使用并不能让我产生检测自己学校的网站的念头，真正让我产生这个念头的原因是这个系统最近曝出了严重的漏洞，不知道网管补上该漏洞没有，如果没有补上，大家回校后上校园网就危险了。

DeDeCMS身藏URL编码漏洞

这次DeDeCMS新出的漏洞是一个URL编解码漏洞，导致漏洞出现的原因是DeDeCMS的设计者在joblistphp、guestbook_adminphp等文件中对orderby参数未做过滤。黑客可以利用这些漏洞查询数据库的敏感信息，例如管理员密码、加密key等，一旦这些敏感资料被黑客掌握，要在校园网内挂马就是轻而易举的事情了，真危险。

小知识：编码是将源对象内容按照一种标准转换为一种标准格式内容。解码是和编码对应的，它使用和编码相同的标准将编码内容还原为最初的对象内容。编解码的目的最初是为了加密信息，经过加密的内容不知道编码标准的人很难识别。

实战入侵

既然知道了漏洞的成因，下面就来亲手检测一下。目前有两种方案可以实现DeDeCMS整站系统的入侵，一种是PHP脚本的入侵方案，采用这种方案，需要先在自己的本机调试好PHP解析环境，然后登录入侵的目标网站，在PHP环境中运行漏洞测试代码。不过这种方案实行起来相对复杂，因此我使用第二种进行检测，通过漏洞检测注入程序直接注入。

首先，登录学校的网站。然后打开《DeDeCMS漏洞注入检测程序》，点击“Target

Infomation”标签选项，在“URL”一项后面将寻找到的有DeDeCMS系统漏洞的网址复制粘贴到地址输入框，这里利用DeDeCMS的网站路径地址“/include/htmledit/indexphp”得到网站的物理路径。

在登录系统之后，复制浏览器地址栏中的网站路径，例如[url=http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren]http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren[/url]，然后复制粘贴提交测试，粘贴完成后点击“Check”按钮，测试网站是否符合条件

3到IDC商那买个虚拟主机，建议找诚信高，主机性能好的4再申请注册个域名，现在域名转出转入很麻烦，建议找个正规的，域名转出转入比较快的域名注册服务机构5把您做好的网页，用FTP软件传到您的空间上去。（FTP软件可使用FlashFXP - 功能强, 稳定性好, 最好的FTP软件 CuteFTP - 功能最多, 支持协议最多的一款的FTP软件 LeapFTP - 最简单的FTP工具, 方便携带与使用 ）6把您注册购买的域名解析到您的空间，并在您的空间进行绑定。（不会的话，可找卖你空间跟域名的商家帮您绑定，一般都是很乐意为您服务的）7等域名解析生效以后，你的网站就可以打开并使用了。如果您是想直接架设网站：1找个好点的CMS系统，找人帮您做套风格。推荐使用（PHP168：简单，易用，功能还不错；PHPCMS：功能强大，比较难；DEDECMS：老牌CMS，升级成50以后就没用过了，不下评断；帝国：一个非常优秀的CMS软件，各方面都做得不错，可做参考。）2把下载好的文件传到空间进行安装，并把需要的风格进行导入,设为默认风格。3进行栏目建设，生成4添加内容