大米cms漏洞

大米cms的大米洞漏洞，说白了就是大米洞一套开源系统在代码层面留下的暗门。这套系统在国内中小型站点里用得不算少，大米洞尤其是大米洞那些做本地资讯、企业展示的大米洞站，图它简单、大米洞模板多、大米洞上手快。大米洞可问题恰恰出在“简单”上——开发者图省事，大米洞使用者图省心，大米洞结果安全这层窗户纸薄得跟没有似的大米洞。

最典型的大米洞漏洞是SQL注入，而且不止一处。大米洞拿它的大米洞搜索功能来说，你往参数里塞个单引号，大米洞数据库立马给你报错吐信息。我试过在它的“商品列表”模块里构造payload，直接就把管理员账号密码的MD5值给带出来了。这年头还有这种低级漏洞，真不知道是该夸它“诚实”还是该骂它“懒”。更讽刺的是，官方文档里还写着“本系统经过严格安全测试”，这测试怕是拿脚做的。

文件上传漏洞更是重灾区。后台的图片上传接口只校验了文件扩展名，压根不看文件内容。你传个php文件，改个后缀名成jpg，它照样收。然后你再通过某种方式把文件名改回来，直接就能拿到webshell。我见过有站长把后台地址改成乱码路径，以为这样就安全了——可上传接口还是开放的，人家照样能绕过去。这种掩耳盗铃的防护，跟把家门钥匙藏在门口花盆底下有什么区别？

还有个逻辑漏洞挺有意思。它的会员积分系统存在越权操作，普通用户可以通过修改post请求里的user_id参数，把积分刷到自己账号上。有个做本地论坛的站长跟我抱怨，说一夜之间会员积分全乱套了，排行版前十全是新注册的小号。我一看日志，好家伙，攻击者就是抓了个包，改了改数字，连sqlmap都没用。这种漏洞的危害不在于破坏，而在于它暴露了系统对用户输入的基本信任——代码里压根没做权限校验。

说句难听的，大米cms的开发者可能就没把安全当回事。代码注释里全是“临时方案”、“先这样”，连基本的参数过滤函数都是自己写的半吊子，跑起来跟筛子似的。更离谱的是，官方补丁更新速度慢得让人发指，有些漏洞在网上曝光了半年多，官方才磨磨蹭蹭出个修复包，而且只修了明面上那个，同类的其他接口照样裸奔。

用这套系统的站长们，要么是真不懂技术，要么是图便宜。可现实是，你省下的那点开发费，最后都得拿服务器数据和网站信誉来还。我见过好几个小站被黑后直接变成赌博推广页，站长自己还蒙在鼓里，直到被搜索引擎拉黑才反应过来。你说冤不冤？其实不冤，选型的时候但凡多看一眼代码质量，也不至于栽这么大跟头。

说到底，大米cms的漏洞不是什么高深技术，全是些基础得不能再基础的安全常识缺失。可就是这种低门槛的漏洞，反而最致命——因为谁都能上手打两下，不需要什么黑客技术，会百度就能找到现成的利用脚本。这年头，安全不是锦上添花，是保命用的。你要是还在用这套系统，趁早备份数据换一套，别等被薅秃了再哭。