去年秋天帮一个做本地资讯的渗透朋友看站，DedeCMS 5.7，渗透后台登录页还挂着默认的渗透“织梦”logo。我随手试了试 `/dede/` 目录，渗透没改。渗透再试 `admin` 和 `admin`，渗透进去了。渗透朋友脸都绿了——这站跑了三年，渗透权重不低，渗透居然连后台路径都没动过。渗透

DedeCMS 的渗透渗透，很多时候不是渗透技术多高深，而是渗透管理员太懒。这套 CMS 在国内中小站长圈子里基数极大，渗透漏洞公开得也彻底。渗透我整理过自己实战中遇到的几种路子，按成功率从高到低排。

最省事的入口是后台弱口令。默认路径 `/dede/`，默认账号 `admin`，密码很多站还是 `admin` 或者 `admin888`。有些站长改是改了，但改成 `dede123`、`dede2023` 这种，跟没改差不多。我见过一个站，密码是 `dedecms`，问就是“好记”。后台一旦进去，拿 shell 几乎是白送——文件式管理器里直接上传 `.php` 一句话，或者用“系统→SQL命令行工具”执行 `SELECT '' INTO OUTFILE '.../shell.php'`。前提是 MySQL 有写文件权限，老版本默认配置里 `secure_file_priv` 是空的，大概率能成。

后台进不去就从前台找。DedeCMS 历史上出过不少前台 Getshell 的洞，比如 `plus/flink.php` 的 SQL 注入、`plus/download.php` 的变量覆盖、`member/ajax_membergroup.php` 的注入。这些洞在 5.7 早期版本里几乎通杀。我印象最深的是 `plus/search.php` 那个注入，构造 `keyword` 参数时用 `%ff%ff` 截断，能直接读 `dede_admin` 表里的账号密码。密码是 MD5 加盐，但盐值在 `data/admin/ver.txt` 或者数据库里能找到，跑一下 hashcat 就出来了。这个洞当年我拿它刷过不少站，后来官方出了补丁，但很多站压根没更新。

再往下就是文件包含和上传。`plus/guestbook.php` 有个变量覆盖，配合 `include` 能读任意文件，但 Getshell 需要日志包含或者 session 包含。我试过用 `plus/mytag_js.php` 的 SQL 注入写文件，成功率看运气——有些服务器 `open_basedir` 限制死了，写不进去。还有 `dede/tpl.php` 的模板注入，后台权限下能直接改模板文件拿 shell，这招比上传更隐蔽，因为不改动文件结构，只改模板内容，很多管理员不看模板。

说个真实案例。去年一个企业站，前台看着挺正常，我扫到 `/install/` 目录没删。访问 `install/index.php.bak` 直接下载了备份文件，里面数据库配置明文。连上 MySQL，`dede_admin` 表里就一条记录，密码 MD5 解出来是 `qwe123`。后台进去，模板管理里把 `index.htm` 加了一行 ``，保存。访问首页，菜刀连上。整个过程不到十分钟。管理员后来跟我说，站是外包做的，交付时没管过安装目录。

DedeCMS 的渗透核心就一句话：信息收集比漏洞利用重要。目录扫描、默认路径、版本号、报错信息，这些比 0day 实在得多。我习惯先看 `/data/admin/ver.txt`，版本号一出来，对应漏洞直接找。再看 `/dede/` 是否可访问，`/install/` 是否残留，`/plus/` 下哪些文件能直接跑。很多时候，一个站能不能进，前五分钟的探测就决定了。

最后提一句，DedeCMS 官方早就停止维护了，但国内还有大量站在跑。如果你在管站，先删 `/install/`，改后台路径，强密码，关掉 `plus/` 下不用的文件。这三步能挡掉八成脚本小子。至于高手？那得看你的服务器配置和运气了。