漏洞版本: DedeCmsV5.6 漏洞描述: DedeCMS内容管理系统软件采用XML名字空间风格核心模板:模板全部使用文件形式保存,对用户设计模板.网站升级转移均提供很大的便利,健壮的模板标签为站长DIY 自己的网站提供了强有力的支持. 1 <?php 02 require_once (dirname(__FILE__) . "/../include/common.inc.php"); 03 define('_PLUS_TPL_', DEDEROOT.'/templets/p…

首先将下面这段代码贴到templets\default\footer.htm文件里(只要在此文件里就行,位置无所谓) <</span>script type='text/javascript' src='{dede:global.cfg_cmsurl/}/images/js/dropdown.js'></</span>script> {dede:channelartlist typeid='top' cacheid='channelsonlist'}<…

漏洞版本: DedeCmsV5.6 漏洞描述: DedeCMS内容管理系统软件采用XML名字空间风格核心模板:模板全部使用文件形式保存,对用户设计模板.网站升级转移均提供很大的便利,健壮的模板标签为站长DIY 自己的网站提供了强有力的支持. edit_face.php else if($dopost=='delold') //45行 { if(empty($oldface)) { ShowMsg("没有可删除的头像!", "-1"); exit(); } $user…

漏洞版本: DedeCms 5.x 漏洞描述: DedeCms是免费的PHP网站内容管理系统. plus/carbuyaction.php里没有对变量进行严格的过滤 出现漏洞的两个文件为: Include/payment/alipay.php Include/payment/yeepay.php 漏洞均出现在respond方法里 Include/payment/alipay.php ...... function respond() { if(!empty($_POST)) { foreach(…

虽然织梦DedeCMS因为安全问题被人所诟病,但瑕不掩瑜,无论从用户群数量还是时间等各方面,织梦DedeCMS都是国内排名前几的CMS建站程序.如果你想学习CMS的二次开发,织梦DedeCMS是必须需要研究的.对织梦DedeCMS的二次开发来说,了解织梦的目录构成.文件.函数则是必备的功课. 今天整理一篇关于Dedecms目录介绍的文章,对织梦DedeCMS的目录结构.核心文件.模板文件等做一个简单的介绍. 以下就是默认的织梦DedeCMS程序根目录中的各大文件夹和文件: /dede //管理后…

本文是关于织梦DedeCMS调用多级子栏目的,拿来测试分享下.DEDECMS v5.7,后台已建栏目目录,如下图1所示: 图1 DEDECMS后台栏目结构 现在,我们先来调用顶级栏目"站长新闻",以及其下的子栏目,如图2所示: 图2 DEDECMS顶级栏目"站长新闻" 当前栏目typeid值为3,所以代码如下: {dede:channelartlist typeid='3,3'} <a href="{dede:field name='typeurl'…

漏洞版本: 织梦(DEDE)CMS V5.3 漏洞描述: 织梦内容管理系统,最强大的中文开源CMS网站管理项目,使用PHP+MySQL架构. 在文件include/common.inc.php中: foreach($_REQUEST as $_k=>$_v)//第10行 { if( strlen($_k)>0&& eregi('^(_|cfg_|GLOBALS)',$_k)&&!isset($_COOKIE[$_k])) { exit('Request var…

以前用织梦DEDECMS做二次开发时获取附加表字段内容都是通过runphp执行SQL查询获得,最近看了看手册,发现一个非常简便的方法. 用arclist调用于附加表字段的方法: 方法一: 要获取附加表内容,必须符合两个条件 1.指定 channelid 属性(注意:channelid不是栏目id,而是自定义模型的id!) 2.指定要获得的从表字段:addfields='字段1,字段' 如: {dede:arclist addfields='video_description,video_id'…

这个方法可以判断出目标网站所使用的织梦DedeCms是哪个版本的,打了哪一天的补丁. 在需要判断网站织梦版本的的URL路径后面添加/data/admin/ver.txt 如官方的:http://www.dedecms.com/data/admin/ver.txt 附加历史更新: 2010-08-18 安全更新 2010-08-03 安全更新 20100708是最新版本5.6 20100324是5.5 20100429之后都是5.6版本,对应的日期为补丁的日期,可以知道什么漏洞没补 5.6版本更新…

织梦dedecms因其强大功能,简单实用的优点常常被用来做企业网站,程序开源使用的人多了网站漏洞多会有中毒的情况,常见的有一种,首页标题关键词描述被篡改,百度快照收录点击后跳转的赌博网站,怎么解决这个问题呢? 首页要做的是搜索程序里的恶意php文件,对比官方的文件把多余文件删除!   其次,织梦网站功能比较多,但是有一些会用不到,为了网站安全减少漏洞需要删除用不到的文件:   1.member目录 [会员目录,一般企业站不需要]   2.special目录 [专题功能]   3.plus文件夹下…