尊敬的用戶:
鑒于近期因dedecms程序暴出漏洞被部分不法分子利用,導 致部分用戶所使用的空間、vps、托管租用產品受到極大影響, 我司建議從以下幾方面著手對服務器及站點程序進行安全加固, 以保證業務有效正常運行。
1、 立刻檢查網站后臺用戶名密碼是否正常,查看登錄日志是否 異常。
2、 立刻備份網站程序及數據庫文件。
3、 更新程序到最新版本(并不能完全解決故障,需配合其他建 議執行)。
4、 注冊使用360網站衛士(wangzhan.360.cn)。
5、 立刻清理木馬(使用護衛神或網站安全狗掃描站點程序文件 )。
6、 加強服務器安全(如在防火墻中禁用UDP等)。
7、 將plus目錄權限更改至最低。
8、 如果網站用不到會員中心,可將member目錄刪除或更名。
9、 清除網站程序文件內所有注釋內容。
10、 更換程序,使用其他cms程序替代dedecms。

附:

Dedecms最新變量覆蓋漏洞
WASC Threat Classification

發現時間:
2013-07-03

漏洞類型:
其他

所屬建站程序:
DedeCMS

所屬服務器類型:
通用

所屬編程語言:
PHP

描述:
目標存在全局變量覆蓋漏洞。
1.漏洞文件/include/common.inc.php
2.檢查外部變量存在缺陷,導致可以任意覆蓋任意全局變量。

危害:
1.黑客可以通過此漏洞來重定義數據庫連接。
2.通過此漏洞進行各種越權操作構造漏洞直接寫入webshell后門 。

臨時解決方案:
在 /include/common.inc.php中找到如下代碼
CheckRequest($_REQUEST);
在下面添加
CheckRequest($_COOKIE);