本文目录一览：
- 1、织梦后台没办法上传怎么拿shell
- 2、dedecms怎么getshell
- 3、dede织梦怎么入侵呢？获得后台权限
- 4、网站漏洞检测 我的网站有漏洞了 程序是织梦的
- 5、织梦网站怎么让网站更安全
织梦后台没办法上传怎么拿shell
网站的后台漏洞都是会有技术员修复的
如果是最新版的肯定都是已经更新修复了这个问题
所以就别指望黑人家的网站了
dedecms怎么getshell
if level == 1 and score 5000:
level = 2
pass
elif level == 2 and score 30000:
level = 3
pass
elif level == 3 and score 60000:
level = 4
pass
dede织梦怎么入侵呢？获得后台权限
看dede的版本，看看有没有已知漏洞，如果有了利用直接获得shell,看看是否能目录索引，如果可以的话，你就赚了，去看它的数据库备份文件路径 直接下载下来，密码的hash是md5加密(记得去掉前三后一)，如果还不行，那就查看同服下的其他站点，搞定一个，然后提权，跳目录就行了，一般只要能进后台，dede拿shell的方法很多也很简单
网站漏洞检测 我的网站有漏洞了 程序是织梦的
DedeCms全局变量覆盖漏洞描述：
目标存在全局变量覆盖漏洞。
1.受影响版本DEDECMS 5.7、5.6、5.5。
2.漏洞文件/include/common.inc.php
3.DEDECMS的全局变量初始化存在漏洞，可以任意覆盖任意全局变量。
漏洞危害：
1.黑客可以通过此漏洞来重定义数据库连接
2.通过此漏洞进行各种越权操作构造漏洞直接写入webshell后门
解决方案：
临时解决方案：
在 /include/common.inc.php 中
找到注册变量的代码
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
foreach($$_request as $_k = $_v) ${$_k} = _RunMagicQuotes($_v);
}
修改为
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
foreach($$_request as $_k = $_v) {
if( strlen($_k)0 eregi('^(cfg_|GLOBALS)',$_k) ){
exit('Request var not allow!');
}
${$_k} = _RunMagicQuotes($_v);
}
}
如果是以前的老版本的请升级成官方新不版本。
织梦网站怎么让网站更安全
data文件夹移到与根目录平级（网上有教程，这个可以自己搜）
删除plus里面不用的插件，不用会员和专题删除member与speacial两个目录
服务器或虚拟空间上设置文件夹读写，系统文件夹dede、include、plus三个目录设置可读不可写
服务器设置文件夹执行权限，除系统文件夹外其他文件夹均没有执行权限.
修改后台dede名称，一般我是随机数，这样会比较安全，如果你是做优化千万不要在robots.txt里面设置蜘蛛不抓取你的后台地址，因为这样别人访问你的robots.txt会直接暴露你的后台。
总结：
data目录的移出是因为data很容易被注入，又不能设置不可写（后台验证码session写入），移出到根目录平级是最好的处理方式，黑客也无法通过网址访问到这个文件夹
plus插件有很多经典漏洞，比如download.php注入直接写入spider账户,一但拿到你后台地址可以直接用此账户登陆，另外还有mytag_js.php也是经典的dede漏洞，利用这个文件90sec getshell,生成木马文件,所以插件不用的一定要清理，不知道什么时候又报新的漏洞，文件越少约安全。
上面3点和4点是配合使用的，这样就算黑客注入，系统文件他也无法写入，就算写入到其他文件夹也无法执行