阅读量:0
织梦安全跟版网是一个专注于网络安全的平台，提供最新的安全资讯、工具和教程。
织梦安全跟版网
织梦CMS简介
DedeCms（简称织梦CMS）是基于PHP+MySQL技术开发的内容管理系统，支持多种服务器平台，如Windows、Linux和Unix，自2004年发布以来，已经发布了五个大版本，以其简单、健壮、灵活和开源的特点，占据了国内CMS市场的大部分份额。
DedeCms v5.6 模板执行漏洞分析
在DedeCms v5.6 Final版本中，存在多个文件的漏洞，攻击者可以通过精心构造含有恶意代码的模板内容，通过用户后台的上传附件功能上传这些模板，然后利用SQL注入修改附加表的模板路径为上传的恶意模板路径，从而成功执行恶意代码。
主要受影响的文件包括：
1、member/article_edit.php：该文件中存在一个SQL注入漏洞，攻击者可以通过伪造$dede_addonfields变量，带入恶意的SQL语句，进而对附加表的内容进行update赋值。
2、include/inc_archives_view.php：这是模板处理类文件，如果附加表的模板路径存在，直接从附加表取值，由于没有对模板路径及名称做任何限制，可以成功执行恶意代码。
| 文件路径 | 漏洞类型 | 描述 |
| member/article_edit.php | SQL注入 | 通过伪造变量实现SQL注入，更新附加表内容 |
| include/inc_archives_view.php | 模板路径未限制 | 直接从附加表取值，没有对模板路径及名称做限制，可执行恶意代码 |
官方推荐的安全设置
为了提升DedeCms的安全性，官方提供了以下推荐设置：
1、目录权限设置：
data、templets、uploads、a目录设置为可读写不可执行权限，其中a目录为文档HTML默认保存路径，可以在后台进行更改。
include、member、plus、dede目录设置为可读可执行不可写入权限，其中后台管理目录(默认dede)可自行修改。
2、删除不必要的模块：
如果不需要使用会员、专题功能，可以直接删除member、special目录。
安装完成后必须删除install安装目录。
3、管理员账号安全：
管理员帐号密码尽量设置复杂，发布文章可以新建频道管理员，并且只给予相关权限。
4、数据库连接安全：
Mysql数据库链接不使用root用户，单独建立新用户，并给予必要权限：SELECT、INSERT、UPDATE、DELETE、CREATE、DROP、INDEX、ALTER、CREATE TEMPORARY TABLES。
5、定期备份与维护：
定期进行网站目录和数据库备份，并在后台进行文件校验、病毒扫描、系统错误修复。
| 设置项 | 描述 |
| 目录权限设置 | 对不同目录设置不同的读写执行权限 |
| 删除不必要的模块 | 移除不需要的功能模块以减少攻击面 |
| 管理员账号安全 | 设置复杂的管理员账号和权限 |
| 数据库连接安全 | 避免使用root用户进行数据库连接 |
| 定期备份与维护 | 定期备份数据并进行安全检查 |
网友归纳的安全技巧
除了官方推荐的设置外，网友们也归纳了一些实用的安全技巧：
1、修改默认模板文件夹名称：调试完毕后上传到空间或服务器上，将默认模板文件夹名称templets/default/改为自定义名称，增加黑客入侵的难度。
2、移动css、js等文件：将网站的css、images和js文件移出模板文件夹放在根目录下，避免源代码路径泄露。
3、重命名模板文件：批量修改并重命名模板文件，防止黑客通过模板名称访问网站路径。
4、使用自定义标记保护模板：利用DedeCms的自定义标记功能，将模板代码放入数据库中，防止被直接查看。
| 技巧 | 描述 |
| 修改模板文件夹名称 | 将默认模板文件夹名称改为自定义名称 |
| 移动css、js等文件 | 将css、images和js文件移出模板文件夹 |
| 重命名模板文件 | 批量修改模板文件名称 |
| 使用自定义标记保护模板 | 利用自定义标记功能，将模板代码放入数据库 |
FAQs
Q1: DedeCms v5.6版本的漏洞如何修复？
A1: 修复DedeCms v5.6版本的漏洞，需要对涉及的文件进行修改和权限设置，具体步骤如下：
1、修改member/article_edit.php文件，防止SQL注入。
2、修改include/inc_archives_view.php文件，限制模板路径及名称。
3、按照官方推荐的目录权限设置进行操作。
4、删除不必要的模块，如member、special目录和install安装目录。
5、设置复杂的管理员账号和数据库连接权限。
6、定期进行备份和维护。
Q2: 如何进一步提升DedeCms的安全性？
A2: 除了官方推荐的安全设置外，还可以采取以下措施：
1、修改默认模板文件夹名称，增加黑客入侵的难度。
2、将css、images和js文件移出模板文件夹放在根目录下，避免源代码路径泄露。
3、批量修改并重命名模板文件，防止黑客通过模板名称访问网站路径。
4、利用DedeCms的自定义标记功能，将模板代码放入数据库中，防止被直接查看。
【织梦安全跟版网】
网站简介
跟版网是一个专注于织梦（Dedecms）系统安全防护的网站，提供织梦系统的安全资讯、漏洞分析、安全工具、防护策略等内容，旨在帮助织梦用户了解系统安全，提升网站安全性。
1、安全资讯
最新织梦安全动态
安全漏洞公告
安全事件报道
2、漏洞分析
漏洞原理解析
漏洞修复方法
补丁下载
3、安全工具
网站安全检测工具
漏洞扫描工具
安全防护软件
4、防护策略
安全配置建议
系统安全优化
应急处理方案
安全指南
1、定期更新织梦系统
及时修复系统漏洞，提升安全性。
2、严格权限管理
限制对织梦后台的访问权限。
3、数据备份
定期备份网站数据，以防数据丢失。
4、使用HTTPS
加密数据传输，保护用户隐私。
5、防火墙设置
防止恶意攻击，保障网站安全。
联系方式
邮箱：[请在此处填写邮箱地址]
QQ群：[请在此处填写QQ群号]
微信公众号：[请在此处填写微信公众号名称]
