2010年前后，dedecms几乎撑起了中国互联网的半壁江山。个人站长、小公司、甚至一些不大不小的门户，后台清一色是那个蓝白配色的织梦图标。那时候大家不叫它“dedecms”，都喊“织梦”，透着一种“我只要装个模板就能躺着收广告费”的痴心妄想。

然后漏洞就来了。不是零零散散的小毛刺，是那种能让你的网站瞬间变成别人后花园的大窟窿。最经典的是SQL注入，老版本里`/plus/list.php`这个文件，对`tid`参数过滤得跟没有似的。你只要在地址栏后面拼上一段精心构造的语句，数据库里的管理员账号密码就像脱光了衣服站在你面前。我亲眼见过一个朋友，网站被黑得连首页都被换成了博彩广告，他还在群里问“怎么我的网站标题变成澳门首家线上赌场了”。

更恶心的是文件上传漏洞。`/include/dialog/select_soft.php`这个文件，本来是用来选择软件附件的，结果对上传类型没做严格限制。攻击者直接传一个`.php`后缀的webshell上去，然后浏览器里敲一下那个文件地址，好家伙，整台服务器的目录都摊开在你面前，跟逛菜市场似的。那时候流行一句话：dedecms的漏洞不是bug，是功能。

你别以为这是老黄历。即便到了2020年后，网上还能搜到大量针对dedecms的自动化扫描工具。那些工具根本不需要什么黑客技术，输入一个域名，点一下“开始”，几分钟后如果返回“漏洞存在”，你就等着被挂马吧。很多老站长压根不更新程序，因为他们觉得“我又没得罪人，黑我干嘛”。可现实是，攻击者根本不针对你，他们用扫描器全网扫，扫到谁算谁。

我认识一个做地方资讯站的，2018年还在用2009年版本的dedecms。我劝他升级，他说“能用就行，升级了模板就乱了”。结果那年国庆，他的站被植入了大量暗链，Google收录全是“伟哥”和“假表”，百度直接K站。他后来跟我复盘，翻日志发现攻击者早在半年前就进来了，一直潜伏着，就等节假日流量高的时候放毒。你说气不气？

织梦官方也不是没努力。后来出了`/dede/`后台验证码加固，加了`preg_replace`的过滤，甚至发布了安全补丁。但问题是，很多人用的是二次开发过的版本，官方补丁一打，自己改过的功能就崩了。于是站长们选择不打补丁，继续裸奔。这种“改代码一时爽，安全补丁火葬场”的恶性循环，直到dedecms官方宣布停止更新才彻底画上句号。

说到底，dedecms的漏洞史就是中国草根互联网的缩影——追求快速上线，忽视基础安全。现在你问那些老站长后悔不，他们多半会苦笑一声，然后打开自己新换的WordPress后台，熟练地装上一个安全插件。但偶尔，夜深人静的时候，他们还会想起那个蓝白色的图标，想起自己当年在`/data/admin/verification.txt`里改后台路径时的紧张劲儿。

历史不会重演，但漏洞的模式会。今天你用ThinkPHP、用FastAdmin，照样有人在论坛里喊“我的站被黑了”。区别只是，dedecms那个年代，漏洞是明晃晃摆在台面上的，而现在的漏洞，藏在更深的逻辑里，等着某个不眠夜，被某个无所事事的人轻轻一碰。