如果转换插件使用遇到问题,将dedecms的远程数据库账号发送至邮箱530765310@qq.com,yzncms作者提供协助
织梦内容管理系统(DedeCms) 以简单、实用、开源而闻名,是国内最知名的PHP开源网站管理系统,也是使用用户最多的PHP类CMS系统,在经历了二年多的发展,目前的版本无论在功能,还是在易用性方面,都有了长足的发展,DedeCms免费版的主要目标用户锁定在个人站长,功能更专注于个人网站或中小型门户的构建,当然也不乏有企业用户和学校等在使用本系统。织梦内容管理系统(DedeCms)基于PHP+MySQL的技术架构,完全开源加上强大稳定的技术架构,使你无论是目前打算做个小型网站,还是想让网站在不断壮大后系仍能得到随意扩充都有充分的保证。
本文所写的内容基本真实,但有些渗透溯源的过程为了描述的精简被修改删除。一些无关紧要的事情也被略去,但对渗透至关重要的大思路和小细节我都没放过。同时在渗透的时候我没有留下截图,很多图是我后来补上的。转载请注明出处。
2018年的中秋节即将来临,我们Sine安全公司,最近接到很多用dedecms程序的企业公司网站客户的反馈,说是公司网站经常被篡改,包括网站首页的标题内容以及描述内容,都被改成了什么北京sai车,北京P-K等等的内容,而且大多数的网站客户都是从百度搜索关键词,点击进公司网站会被直接跳转到赌bo网站上去。
云开发静态托管是云开发提供的静态网站托管的能力,静态资源(HTML、CSS、JavaScript、字体等)的分发由腾讯云对象存储 COS 和拥有多个边缘网点的腾讯云 CDN 提供支持
在采集到URL之后,要做的就是对目标进行信息资产收集了,收集的越好,你挖到洞也就越多了............当然这一切的前提,就是要有耐心了!!!由于要写工具较多,SO,我会分两部分写......
现在建网站,90%都会采用cms建站系统、可是优秀的建站系统那么多,像国外的JOOMLA、WORDPRESS,国产的PageAdmin、织梦DEDECMS、JTBC、DISCUZ等;网上也有一大堆测评资讯,有说这个好,有说那个差,究竟选哪个?很多小白会很纠结。
2.检查selinux是否已关闭,防火墙的80端口是否已打开,或者是否清空了防火墙规则:
基本用法(导入文件test.txt到table1表中,txt文件中的行分隔符为\r\n,默认tab键为字段分隔符,txt文件中的每个字段按顺序对应column1、column2,。。。导入表中)
今天安装dedecms,配置Nginx,然后生成一键生成静态页面,然后就没有然后了,所有栏目页面都显示nginx 403 forbidden。 一般来说nginx 的 403 Forbidden errors 表示你在请求一个资源文件但是nginx不允许你查看。 403 Forbidden 只是一个HTTP状态码,像404,200一样不是技术上的错误。 哪些场景需要返回403状态码的场景? 1.网站禁止特定的用户访问所有内容,例:网站屏蔽某个ip访问。 2.访问禁止目录浏览的目录,例:设置autoinde
都2022了,一个企业如果没有网站就有点low了呀,国内的中小型企业居多,在推广上投入的资金也是有限的,很多中小企业就做个网站,基本不去推广,跑题了,我们今天讨论的是企业站用哪种cms比较好;
作者:LoRexxar'@知道创宇404实验室 0x01 背景 织梦内容管理系统(DedeCms)以简单、实用、开源而闻名,是国内最知名的PHP开源网站管理系统,也是使用用户最多的PHP类CMS系统,在经历多年的发展,目前的版本无论在功能,还是在易用性方面,都有了长足的发展和进步,DedeCms免费版的主要目标用户锁定在个人站长,功能更专注于个人网站或中小型门户的构建,当然也不乏有企业用户和学校等在使用该系统。 2018年1月10日, 锦行信息安全公众号公开了一个关于DeDeCMS前台任意用户密码修改
最近dedeCMS爆了好多洞(0day),于是将最近的漏洞进行复现和整理便成为了本篇漏洞集合。期待师傅们的指导与交流。 cookie伪造导致任意前台用户登录 0x00 相关环境 源码信息:DedeCMS-V5.7-UTF8-SP2-20180109 问题文件: \DedeCMS-V5.7-UTF8-SP2\uploads\member\index.php 漏洞类型:cookie伪造导致前台任意用户登录 站点地址:http://www.dedecms.com/ 0x01 漏洞分析 在文件\Dede
虽然DedeCMS织梦程序已经很久没有更新升级,但是依旧有很多人在使用。比如我们可以看到市面上有很多第三方的DedeCMS主题和插件,从生态角度看,目前DedeCMS算是国产CMS程序中使用最多的。从功能上看目前已经基本完善,这个也可能是老蒋认为一直没有升级更新的原因之一。
老蒋在上周的时候有记录和整理"帝国CMS最新版本下载和详细的安装图文教程记录"帝国CMS程序的安装和体验,在N年前老蒋对于这款CMS还是比较熟悉的,帝国CMS7.5版本和早年的没有特别的区别,但是在功能和移动端是有加强部分功能。如果我们需要依靠CMS搭建交互性较强的,以及选择安全性较高的CMS程序可以使用帝国CMS,但是如果我们需要简单的WEB1.0内容管理系统,老蒋个人觉得帝国CMS稍显累赘。
根据第二篇,我们有信心去遍历root key的所有可能, 但是我们还需要一个碰撞点, 才能真正得到root key的值, 本篇找到了两个碰撞点, 并编写了简单的POC来获取root key。
织梦(DedeCms)也是一个国产内容管理系统,曾经爆出过众多漏洞,甚至还有人开发了dedecms漏洞一键扫描器
我们在上个月的时候有看到DEDECMS准备在十月份发布新的版本,具体的发布时间未知。对于内容管理系统而言,DEDECMS织梦是有不少的优势的,尤其是在主题的制作和文档上是比较齐全的,基本上遇到的问题都可以找到解决方案。比如今天老蒋遇到DEDECMS登录后台看到左侧菜单空白问题,如何解决呢?
织梦内容管理系统(DedeCms)以简单、实用、开源而闻名,是国内最知名的PHP开源网站管理系统,也是使用用户最多的PHP类CMS系统,在经历多年的发展,目前的版本无论在功能,还是在易用性方面,都有了长足的发展和进步,DedeCms免费版的主要目标用户锁定在个人站长,功能更专注于个人网站或中小型门户的构建,当然也不乏有企业用户和学校等在使用该系统。
1、EditPlus 一套功能强大,可取代记事本的文字编辑器,拥有无限制的Undo/Redo、英文拼字检查、自动换行、列数标记、搜寻取代、同时编辑多文件、全屏幕浏览功能。而它还有一个好用的功能,就是它有监视剪贴簿的功能,能够同步于剪贴簿自动将文字贴进EditPlus的编辑窗口中,让你省去做贴上的步骤。另外它也是一个好用的HTML编辑器,除了可以颜色标记HTML Tag (同时支持C/C++、Perl、Java)外,还内建完整的HTML和CSS1指令功能,对于习惯用记事本编辑网页的朋友,它可帮你节省一半以上的网页制作时间,若你有安装IE 3.0以上版本,它还会结合IE浏览器于EditPlus窗口中,让你可以直接预览编辑好的网页(若没安装IE,也可指定浏览器路径)。 这是款编写PHP时使用最多的文本编辑器之一,方便使用,很多PHP人士都喜欢用它。 不过它是共享软件,需要花Money的。不过这年头都用大家都用破解的,要找到破解版很容易的,所以我就不放下载地址了…… 2、Zend Studio 用文本编辑器虽然很方便,可是开发一套大型的系统,很多人还是喜欢用IDE集成环境。所以这款软件很适合你。 Zend Studio 是专业开发人员在使用PHP整个开发周期中唯一的集成开发环境 (IDE),它包括了PHP所有必须的开发部件。通过一整套编辑、调试、分析、优化和数据库工具,Zend Studio 加速开发周期,并简化复杂的应用方案。 Zend Studio主要组件 1 专业的集成开发环境 内置 编辑器, 调试器, 以及 帮助文档 2 Windows, Linux, Mac 等多个操作系统版本 3 多语言支持 4 专业的编辑器 5 关键字、语法加亮显示 (PHP, HTML, XHTML, and JavaScript) 6 XML & CSS 的关键字、语法加亮显示 7 代码模板 8 支持 PHP 4 and PHP 5 9 代码自动完成功能 10 PHP Code (+PHPDoc) 分析功能 11 内部调试器 12 代码摘录 13 PHP 代码分析 14 远程调试器 15 Remote Profiler 16 数据库连接以及集成查询 ,适用于 : IBM DB2/Cloudscape, MySQL, Oracle Microsoft SQL Server, SQLite, and PostgreSQL 17 NEW! Set of SQL Tools: SQL Query Editor, SQL Explorer, and more. 18 NEW! PHPDocumentor 19 CVS 集成 ,方便团队开发 20 FTP 高度集成 原来Zend Studio都是用java开发的,后来直接投入Eclipse的怀抱了。最新的Zend Studio 6.0就被称为Zend Studio for Eclipse 6.0。 编辑器、调试器、漂亮的外观加上Zend特有的一些属性,要有的都有了,真是非常完美的PHP开发集成环境啊。 不过这个还是要注册的……从官方下载的会有一个月的试用期。(好工具都要注册,要钞票的……) 因为Zend Studio for Eclipse刚出来,比较难找到注册码,在一个PHP论坛有个家伙在网上找了3个小时才找到注册机……这里我就无私奉献一下吧。(其实动点脑筋很快就找到了) 官方下载地址: http://downloads.zend.com/studio-eclipse/6.0.0/ZendStudioForEclipse-6_0_0.exe 我把注册机上传到网盘里,自己下吧: http://www.fs2you.com/files/7d645bf8-db9c-11dc-83bc-0014221b798a/ 以上说的都是共享软件,都是要钞票的。这样找一些破解版本来用,实在会有些过意不去。其实PHP作为开源语言,自然会有一些很不错的开源软件。 3、Norepad++ Notepad++是一款非常有特色的编辑器,是开源软件,可以免费使用。 功能有: ①、内置支持多达27种语法高亮度显示(囊括各种常见的源代码、脚本,值得一提的是,完美支持.nfo文件查看),也支持自定义语言; ②、可自动检测文件类型,根据关键字显示节点,节点可自由折叠/打开,代码显示得非常有层次感!这是此软件最具特色的体现之一; ③、可打开双窗口,在分窗口中又可打开多个子窗口,允许快捷切换全屏显示模式(F11),支持鼠标滚轮改变文档显示比例,等等; ④、提供数个特色东东,如邻行互换位置、宏功能,等等…现在网上有很多文件编辑器,这个却是不可多得的一款,不论是日常使用还是手写编程代码,都能让你体会
就如Windows中软件安装包一样,Linux中软件也有指导安装的文件,解压完成后找到readme.txt文件,查看其内容,其实安装方法就在这里。
目前我们选择建站程序的时候,个人网站、博客的话大家都喜欢选择WP或者ZBLOG程序居多,中大型内容系统的话我们选择帝国CMS或者DedeCMS织梦程序比较多,对于企业类网站的话,还有很多需要授权才能使用的企业CMS,虽然那些也有免费授权,但是尽量不要用,可能会被认为商业行为有版权纠纷。
11 制定合理的mysql数据备份方案,并写备份脚本,要求把备份数据传输到备份服务器
国内草根站长用的最多的一款建站源程序就是dedecms,通常是通过FTP或者服务器面板自带的文件管理器来上传下载的。FTP可视性、体验都相对差一点,且需要事先安装FTP软件,更换环境后的站点管理上有很多不便;另一方面,涉及一些站点代码修改,在线编程需求时,需要下载到本地修改后,之后再上传覆盖,也会比较麻烦。
0.背景分析 当今的互联网站点,各种cms和框架大规模普及,这虽然方便了广大站长,但是这些开源项目的安全性不容乐观,比如前一阵子的strutsII漏洞使各大平台和高校网站被入侵。 如今各大漏洞库的建立为我们提供了丰富的漏洞资源。国内有乌云网,sebug,国际上有CVE和exploit-db。我们可以从这些网站和各大安全论坛获得漏洞资源,编写利用程序。 那么我们既然有如此丰富的资源,为何不编写一款可扩展的集成各种漏洞扫描和利用功能的渗透测试平台呢。 我与很多国内的黑客讨论过,他们表示正在写或者有意向编写一
感觉自己代码审计的能力不太行,于是下载了一个cms来锻炼下自己的代码审计功底,这篇文章记录一下这个dedecms代码执行的漏洞
0×00 概述 2018年1月,网上爆出dedecms v5.7 sp2的前台任意用户密码重置和前台任意用户登录漏洞,加上一个管理员前台可修改其后台密码的安全问题,形成漏洞利用链,这招组合拳可以重置管理员后台密码。 先来看看整体利用流程: 重置admin前台密码—>用admin登录前台—>重置admin前后台密码 0×01 前台任意用户密码重置分析 组合拳第一式:重置管理员前台密码 漏洞文件:member\resetpassword.php:75 else if(
目前,我们可以看到市面上有两个版本的DedeCMS织梦程序,一个是早年我们比较熟悉的目前V5.7版本,而且已经有很多年没有大更新升级。还有一个版本是前一段时间出来的,在原来DedeCMS基础上简单修改前端,以及部分后端代码升级后推出来的。目前双方之间在争议版权问题,但是对于我们用户来说根据实际选择。
现在很多人都想制作一个个人博客,前端html静态页面,免费的很多,但是拿到一个静态页面,自己并不知道怎么用。你可以选择下载免费的博客程序源码,或者cms。这些开源的博客程序源码,都是经过很多次版本测试的,都有固定的使用人群。我所知道的主流的博客程序有,Z-blog,Emlog,WordPress,Typecho等,免费的cms系统有,织梦cms(dedecms),phpcms,帝国cms(EmpireCMS)等。这些都是开源免费的程序,用它们来做一个个人博客网站,是可以的。 很多新手站长不知道该如何选择合适的博客程序源码来搭建自己的个人独立博客,主要原因还是不太了解这些博客程序的特点。这些博客程序都有它的使用教程,如果你有足够的时间,可以选择去学习。 我相信很多站长,都使用过以上的博客程序源码。我先来简单说说,我在使用这些博客程序源码的一个体验感受: 1、Z-Blog。Z-blog博客程序的特点在于它有asp,php两个版本,有可选择性,页面静态化做得比较好,有利于SEO优化。但Z-blog目前提供的不少主题模板和插件是收费的,而且主题不是很多。 2、Emlog。Emlog(点滴记忆),程序大小只有500KB左右。它的特点就是源程序文件非常小。Emlog的基本功能比较简单,对于做一个简单的博客来说足够。不够完美的地方在于,Emlog不能html静态化,支持的是伪静态。 3、WordPress。相比较前两个来说,WordPress的人气应该是最高的,WordPress的博客主题很多,免费的,付费的,更新也快。WordPress程序依托的是插件和主题,作为国际性开源程序,它的功能非常强大。美中不足的地方在于,它的插件多,网站速度加载会比较慢。 4、织梦cms(dedecms)。最新版本V5.7SP2正式版,更新时间:2018年01月09日。dedecms采用PHP+MySQL的技术架构,个人站长用得也比较多,因为它上手快,标签好调用,对于想做资讯网站的站长来说,简单看看教程,也能在短时间学会。dedecms是完全开源的,不足的地方在于,漏洞很多,网站时不时被攻击挂马。 5、PHPCMS。最新版 V9.6.3 ,更新时间:2017年05月15日。使用的MVC模式编程,模块化的设计,非常适合网站的二次开发,从后台的美观度来说,PHPCMS V9的后台界面最为美观,操作也简单。我记得dede和帝国cms还在用table的时候,phpcms开发模板用的是div+css,界面好看布局又合理。就扩展性来说,不是很好,v9之后,就不再更新了。 6、帝国cms。从安全性来说,帝国CMS,PHPCMS的安全性高,没有什么漏洞,帝国cms页面静态化,利于优化,而且扩展性很好,适合做二次开发。但从美观度来说,帝国cms不重视这些,甚至很多都是table布局。之前我写过一篇文章,《个人博客,我为什么要用帝国cms?》,也是在使用了以上这些博客程序源码后写的一个总结,兜兜转转,最后还是使用了帝国cms,作为我的博客程序。 以上这些,仅属于个人观点,每个程序都有它的优缺点,选择什么样的程序源码,看个人的需求和爱好。比如,有程序基础的,喜欢易于开发和灵活性强的,可以选择帝国cms。喜欢漂亮的,后台易于操作的,想经常换主题的,可以选择wordpress,总的来说,根据个人的情况来选择,选适合自己的,慢慢熟悉系统。
现在的CMS系统非常多,CMS作为基础的网站内容管理系统,都已经比较成熟了,国内常用的CMS系统有:PageAdmin Cms、织梦DEDECMS、Wordpress等。对于老手来说,适合自己的就是最好的,那么,对于新手呢!如何选择?
前面我们很多朋友都有看到织梦DEDECMS程序官方要求主动去申请商业授权缴纳5800元每个网站,对于很多个人站长或者企业网站来说这个成本是不现实的,因为建站企业网站的朋友都有知道普通的企业网站接单过来都可能低于这个价格。比如老蒋以前帮朋友搭建的网站居然还是免费给他们的,我自己还要贴主机和域名给他们,肯定不会再买付费的DEDECMS授权的。
4 由于机器有限,尽可能地把三个站点放到同一台服务器上,然后做负载均衡集群,要求所有站点域名解析到一个ip上,也就是说只有一个出口ip
DEDECMS织梦后台邮箱验证发送邮件配置教程环境要求主机465端口是开启和放行的php扩展openssl是开启的php扩展sockets是开启的1、QQ邮箱 或者 163邮箱 126邮箱 开启SMTP服务,拿到授权码,根据自己的来QQ邮箱开启SMTP服务 和 获取授权码📷163邮箱开启SMTP服务和 获取授权码📷126邮箱开启SMTP服务,跟163一样。2、网站后台 - 系统 - 系统基本参数 - 核心设置是否启用SMTP方式发送邮件:是SMTP服务器:ssl://smtp.163.com 或者 ssl:
0x00 前言 昨天晚上做了一个神奇的梦,梦到了我高中时候晚自习在偷偷的看《黑客攻防技术宝典》,当年的事情无论是苦是乐,回忆起来总是感觉非常的美好。但是,现实就是现实,梦境还是要被舍友的闹铃声打破,在大梦初醒后,我仿佛有一种“垂死梦中惊坐起”的感觉,是谁为我织出了这么美好的一个梦境?难道织梦CMS(DedeCMS)又要出0day了?于是,我立马从床上跳了下来,打开电脑,从官网下载了最新版的织梦CMS(DedeCMS V5.7 SP2正式版),心想着一定要代码审计一波带走。于是乎,就有了你现在正在阅读的这篇文
深信服公众号前几天发了Dedecms未授权RCE的漏洞通告。地址是这个: 【漏洞通告】DedeCMS未授权远程命令执行漏洞
老蒋刚才准备将一个客户的企业网站(采用DedeCMS系统搭建)上线的。因为我们是采用本地主题前端模式,内核的程序一般还是要安装最新的。于是我在真实服务器环境中常规的安装织梦程序的时候没有问题,但是在设置账户密码之后,居然无法登录。
今天老蒋和makedown同学在讨论大数据网站使用哪种CMS比较好时候都提到国内比较老牌的DEDECMS织梦和帝国CMS程序,这两者内容管理系统还是比较有代表性的,曾经相对而言DEDECMS易用性较强且使用用户确实是比较多,但是安全性一般而且目前基本也没有官方维护。但是帝国CMS程序一直在有维护更新,而且安全性是比较强的,老蒋早年也有接触和安装过感觉易用上手体验稍微欠缺一点。
移动互联网时代,传统企业网站不仅仅局限pc端网站,还会有H5端,微信小程序端,尤其是微信作为一个巨大的流量入口,微信小程序作为企业品牌和开战电商的必争之地。那么企业要实现pc网站,h5网站,小程度多端布局,那么采用cms系统这种成熟的方案是很多企业或网站建设公司最常用的选择,也是最实惠的方式。
如今我们无论是学习架设个人博客、网站,还是架设中大型的内容系统,基本上很少有完整的重新架构独有的程序。我们大部分用户要么直接使用免费开源CMS程序,然后顶多寻找点免费主题模板简单的修改就直接使用。稍微有点讲究的网友可能还会根据实际的需要进行定制主题或者稍微进行二次开发。
2:全自动(比sitemap工具更优秀,Ping服务会让百度及其它搜索引擎最快知道您的网站内容更新并收录!)
经常使用织梦DEDECMS的朋友会发现,每次发不完新文章了之后,还需要手动的生成文章页、栏目页和主页,有时还会忘记去生成,忘了的话发布好的文章就显示不了这就很尴尬了,所以今天品自行教大家织梦DEDECMS发布文章后自动更新栏目页、首页、上下篇。
信息收集无论是在渗透,AWD还是挖src中,都是重中之重的,就像《孙子兵法》中说到的"知彼知己,胜乃不殆;知天知地,胜乃可全",也就是"知己知彼,百战不殆"
现在随着技术的发展,建站系统越来越人性化,国内也涌现一批功能强大,扩展灵活的建站系统,这些系统可以独立下载,可以任意修改,可以方便的扩展,无论是功能还是优化方面都已经非常强大,比如php平台下的CmsTop(商用)、dedecms,帝国cms、phpcms,wordpress,asp.net平台的PageAdmin、动易,基于云计算平台的9466网页助手等等都是很优秀的建站系统,国内用户众多,小到用于建立个人网站,大到用于建立门户网站,可见功能之强,扩展之方便,iis7就是其中一个。
对于大多数站长来说,企业网站CMS可能再熟悉不过了。但对于新手站长来讲,可能还不太了解什么是企业网站CMS,或企业网站CMS是做什么的。而我们经常可以在网上看见有人问:哪个CMS系统最好用?企业建站用哪个CMS系统?等类似问题。今天,我们一起来看看,2020年站长使用最多、最值得使用的开源免费企业网站CMS建站系统。
Centos7.x > Debian10 > Ubuntu 20.04 > Cenots8.x > Ubuntu 18.04 > 其它系统
ytkah最近用dedecms做会员系统,在做登录页面的时候发现登陆的时候提示本页面禁止返回,把登陆模板换回官方原来的,竟然可以登陆,那么应该是模板出错了,又看了index_do.php这个文件,这个就是登陆的处理文件,$fmdo $dopost这两个变量 为空的话,系统就会啥都不做,提示本页面禁止返回。最根本的原因就是,在模板登陆表单里面没有加上 <input type="hidden" name="fmdo" value="login"> <input type="hidden" name="dop
大家好,又见面了,我是你们的朋友全栈君。power by dedecms什么意思,power by dedecms怎么去掉
这应该是一个很早以前就爆出来的漏洞,而我见到的时候是在TCTF2018 final线下赛的比赛中,是被 Dragon Sector 和 Cykor 用来非预期h4x0r's club这题的一个技巧。
dedecms :说这个是国内人气最旺的cms,我想没有人反对吧? 中国站长站(chinaz.com),站长资讯(admin5.com),称这两个站点是大站,没人反对吧?如果你做的是个人站点,如果数据
最近DedeCMS又被爆出存在文件包含漏洞。据了解,该漏洞影响版本为5.7.106以及之前的版本。影响范围较大,其中,文件uploads/dede/article_allowurl_edit.php存在缺乏对写入内容的安全过滤,导致可以写入任意内容,形成了该漏洞,具体漏洞详情如下:
领取专属 10元无门槛券
手把手带您无忧上云