dedecms 漏洞

Dedecms的漏洞史，基本就是一部国内中小网站的血泪史。我见过太多站长，白天还在群里吹嘘自己日IP过万，凌晨三点就被挂上了博彩页面——那会儿他们才第一次听说“变量覆盖”这个词。 这套系统最要命的地方在于，它的核心代码还停留在2010年的思维模式。当年开发者写`foreach`循环时大概没想过，`$key`这种变量名能被用户从URL里直接传进去。于是经典的`/plus/flink.php`漏洞就诞生了：你提交一个精心构造的`typeid`参数，再配合`link`数组的键名覆盖，数据库里就多了一行带后门的友情链接。我亲眼见过黑客只用一条HTTP请求，就把整站源码拖走——整个过程比在浏览器里下载图片还快。 更讽刺的是官方修复方式。他们每次发补丁，都是给某个文件加个`if(!isset($_GET['key']))`的判断，可这种打地鼠式的修补根本追不上攻击者的脑洞。2018年那次SQL注入漏洞，问题出在`mychannel`标签的`autofield`参数上，官方修了三次都没堵干净，最后干脆建议用户禁用自定义字段功能——这等于说：房子漏雨你别修了，把卧室搬到客厅吧。 其实真正懂行的人都知道，Dedecms的漏洞根源不在某个具体函数，而在它那套模板解析机制。`{ dede:field name='id'}`这种写法，让模板引擎把用户输入当代码执行，本质上是把SQL查询和HTML渲染搅在一起。就像你把保险柜钥匙和外卖订单放在同一个信封里，快递员拆开时能分得清哪个是哪个吗？ 这些年我接触过上百个被黑站点，发现一个规律：凡是能活过三年的Dedecms站，站长要么是精通代码的黑客型选手，要么就雇了专人盯着安全公告。最惨的是那些用着免费模板、连后台密码都设成admin123的草根站长，他们往往要等百度收录了博彩页面才察觉异常。有个做本地生活站的哥们儿，网站被用来发了一周假发票广告，他自己愣是没发现——因为黑客把后台的“最近更新”时间戳也改了。 说到底，这套开源系统就像一辆没有安全气囊的老款轿车。懂机械的人能靠预判和反应避开事故，但普通人开着它上路，出事儿只是时间问题。现在官方已经停止更新，可仍有几十万个站在用。每次看到那些还在用Dedecms的企业官网，我都想劝他们：换WordPress吧，哪怕多花点钱找人定制，也比天天睡在定时炸弹上强。可转念一想，那些站长连ftp密码都记在便签纸上，你跟他们谈代码审计？算了吧。

(责任编辑：探索)