近年来，随着互联网的快速发展，网站安全问题日益突出。Dedecms 作为国内一款流行的内容管理系统，因其易用性和丰富的功能而受到许多用户的喜爱。由于安全防护措施不足，Dedecms 5.7 版本存在注入漏洞，给网站安全带来严重威胁。本文将深入解析 Dedecms 5.7 注入漏洞，并提供防范与修复之道。
一、Dedecms 5.7 注入漏洞概述
1. 漏洞类型：SQL注入漏洞
2. 漏洞影响：攻击者可利用该漏洞获取数据库敏感信息，甚至控制网站服务器
3. 漏洞原因：Dedecms 5.7 版本在处理用户输入时，未对输入数据进行有效过滤和验证
二、Dedecms 5.7 注入漏洞原理
1. 漏洞代码分析：
“`php
$sql = “
dedecms5.7伪静态怎么设置
dede5.7伪静态设置方法。
dede5.7伪静态设置七步法：
第一步、后台-系统参数-核心设置-是否使用伪静态：选择“是”；
注：你的网站空间是否支持伪静态，你可以与空间的IDC商联系一下，如果是自己的服务器，那就更好办了，自己动手，丰衣足食。一般来说，空间都是支持伪静
态的。Apache服务器伪静态相对简单，直接在.htaccess文件中加入相应伪静态规则即可；而IIS服务器伪静态的实现，则需要加载
Rewrite组件，然后配置httpd.ini文件。
第二步、如果你的网站已经存在生成的静态栏目或文章HTML，那么只需在后台-系统-SQL命令行工具中执行如下语句：
将所有文档设置为“仅动态浏览”：
update dede_archives set ismake=-1
将所有栏目设置为“使用动态页”：
update dede_arctype set isdefault=-1
第三步、列表页、文章页伪静态修改
打开/include/helpers/channelunit.helper.php。
（1）查找：
//动态文章
if($cfg_rewrite=='Y')
{
return$GLOBALS[“cfg_plus_dir”].”/view-“.$aid.'-1.html';
}
替换为
//动态文章
if($cfg_rewrite=='Y')
{
return”/DedeCMS/DedeCMS5.7-“.$aid.'-1.html';
}
意思是：将默认的/plus/view-1-1.html文章链接格式改为/DedeCMS/DedeCMS5.7-1-1.html。
(2)查找:
//动态
$reurl=$GLOBALS['cfg_phpurl'].”/list.php?tid=”.$typeid;
替换为
//动态
$reurl=”/category/list-“.$typeid.”.html”;
意思是：将默认的频道或是列表页URL/plus//list.php?tid=1变更为/dedecms/list-1.html形式。
第四步、列表分页伪静态修改
打开/include/arc.listview.class.php
查找:
$plist= str_replace('.php?tid=','-',$plist);
替换为
$plist= str_replace('plus/list.php?tid=',‘DedeCMS/DedeCMS5.7-',$plist);
将默认的plus/list.php?tid=替换成RMB/list-;
意思是：将默认的列表分页链接格式plus/list.php?tid=x$x$xl修改为DedeCMS/DedeCMS5.7-x-x-x.html。
第五步、文章分页伪静态
打开/include/arc.archives.class.php，找到获取动态的分页列表GetPagebreakDM()函数末尾处：
查找:
$PageList= str_replace(“plus/view.php?tid=”,”DedeCMS/DedeCMS5.7-“,$PageList);
替换为
$plist= str_replace('plus/view.php?tid=',’DedeCMS/DedeCMS5.7-',$plist);
将默认的plus/view.php?tid=替换成RMB/huilv-;
意思是：将默认的文章分页链接格式plus/view.php?tid=x$x$xl修改为DedeCMS/DedeCMS5.7-x-x-x.html
第六步、TAG标签伪静态
DedeCms默认的TAG标签URL，形如/tags.php?/dedecms模板/，是不是觉得有个问号不怎么爽，我们改成/tags/dedecms模板/，是不是好看多了。
下面我们来改一下，打开/include/taglib/tag.lib.php：
查找:
$row['link']=$cfg_cmsurl.”/tags.php?/”.urlencode($row['keyword']).”/”;
替换为
$row['link']=$cfg_cmsurl.”/tags/”.urlencode($row['keyword']).”/”;
这样就修改好了，上传你到你的网站，切记：要记得将原网站备份哦！！
第七步、httpd.ini伪静态规则：
[ISAPI_Rewrite]
# 3600= 1 hour
CacheClockRate 3600
RepeatLimit 32
RewriteRule ^(.*)/RMB/list-([0-9]+)\.html$1/plus/list\.php\?tid=$2 [I]
RewriteRule ^(.*)/RMB/list-([0-9]+)-([0-9]+)-([0-9]+)\.html$1/plus/list\.php\?tid=$2&TotalResult=$3&PageNo=$4 [I]
RewriteRule ^(.*)/RMB/huilv-([0-9]+)-([0-9]+)\.html$1/plus/view\.php\?arcID=$2&pageno=$3 [I]
RewriteRule ^(.*)/(.*)_(.*)_([0-9]+)\.html$1/huilv/?from=$2&to=$3&num=$4 [I]
RewriteRule ^(.*)/tags\.html$1/tags\.php [I]
RewriteRule ^(.*)/tags/(.*)(?:(\?.*))*$1/tags\.php\?\/$2 [I]
RewriteRule ^(.*)/tags/(.*)\/(?:(\?.*))*$1/tags\.php\?\/$2\/ [I]
RewriteRule ^(.*)/tags/(.*)\/([0-9])(?:(\?.*))*$1/tags\.php\?\/$2\/$3 [I]
RewriteRule ^(.*)/tags/(.*)\/([0-9])\/(?:(\?.*))*$1/tags\.php\?\/$2\/$3\/ [I]
将上面代码保存为：httpd.ini上传到网站的根目录。
如无特特殊需求建议采用官方默认的生成静态的页面方式浏览。
dedecms5.7子域名下的文章图片无法显示
后台系统设置处,起用多站点绑定,附件一
2.后台频道管理处,文件保存目录填写”/”,附件二
3.后台频道管理处,高级选项,多站点起用,填写待绑定的域名,站点根目录,附件三
3.1注意事项,继承选项这个地方请打勾,附件四
案例说明:不打勾你的下级子栏的多域名将不会实现,我开始时没打勾,因为我看到后台子栏里也同时同步了上级栏目多站点的设定,但在实际测试中下级子栏目却不生效,后发现数据库中没有同步上级栏目的设置,所以必须打勾…此处看不懂的不用看,我罗索的,你直接打勾就是了.
4.图片等资源路径不能显示的修改,请修改你的模板文件.
案例说明:图片路径默认是这样的/upimg/data/图片文件名.jpg或.swf或等等
你需要模板该相关处前,添加你的域名,
5.结合第4点,为支持二级域名绑定后图片路径的错误问题,修改下面两个文件.
include/inc_arclist_view.php 594行
include/inc/inc_fun_spgetarclist.php 195行
$row['litpic']=$row['siteurl'].$row['litpic'];替换这一行为
$row['litpic']=$row['litpic'];
如此做后,我的二级域名绑定一切正常.!!
详细教程:
