DedeCMS曝SQL注入漏洞 360提示站长速打补丁

近日，知名第三方漏洞报告平台乌云曝光建站工具DedeCMS系统反馈页面存在SQL注入高危漏洞()，攻击者可能随便获取网站治理员明码，网站数据面临“拖库”要挟。经360网站平安检测(WebScan)对注册用户的剖析钻研发现，86%利用DedeCMS的网站存在该漏洞，危害范围非常宽泛。

据了解，DedeCMS(织梦内容治理系统)是国内知名的PHP类CMS系统，在站长圈内运用宽泛，用户触及企事业单位、政府机关、教育、媒体、IT及互联网等多个行业，青年文摘、盐城疆土资源部门网站都是用DedeCMS搭建。

据360网站平安检测剖析，形成DedeCMS漏洞的缘由在于其plus\feedback.php中的变量$typeid，因为未对参数停止初始化检测，从而导致SQL注入漏洞的产生。

图1：feedback.php中过滤不严导致漏洞

360平安专家示意，攻击者经过提交回复，无需审核即可发表回复，并执行恶意语句，窃取治理员的账号和明码，后只有停止MD5解密便可失去明文明码。阅历证，有些网站只管没有启用会员模块，但照旧存在feedback页面，这导致在容许游客评论的形状下，SQL漏洞就可能被应用;而即便制止游客评论，也能够面临平安危险。

图2：实施SQL注入攻击后，可获得治理员账号明码

目前，DedeCMSV5.7以下版本都受该漏洞影响，DedeCMS民间已提供下载补丁停止修复()，但补丁推出一段工夫来，360网站平安检测发现仍有大量网站并未注重。对此，360网站平安检测平台已向旗下用户发送警告邮件，建议宽广站长及治理员尽快下载民间补丁停止修复，并利用360网站平安检测和360网站卫士，保护网站平安。