织梦CMS的织梦漏洞史，基本就是织梦一部国内中小站长被按在地上反复摩擦的血泪史。你可能没听过“DedeCMS”这个名字，织梦但你大概率刷到过那种页面底部写着“Powered by DedeCMS”的织梦站——政府小部门、学校旧官网、织梦地方论坛，织梦一抓一大把。织梦这些站有个共同点：看着不起眼，织梦真被拖库了，织梦里面存的织梦身份证号、手机号、织梦甚至后台管理员密码，织梦全都能被扒个精光。织梦

2017年前后，织梦织梦的织梦漏洞利用代码在圈子里传得跟白菜似的。最经典的一个入口是`/plus/recommend.php`。这文件本来是给文章做“推荐”用的，结果参数过滤写得跟闹着玩一样。攻击者往`_GET`里塞个构造好的SQL语句，数据库直接听话，管理员账号密码就出来了。当时有个做地方门户的朋友，后台密码设的是`admin888`，被人用这个洞进去之后，挂了一整页黑页，上面就一句话：“你站真菜。”他后来跟我喝酒还骂：织梦官方补丁出得比蜗牛还慢。

更离谱的是`/plus/download.php`。这文件有个变量覆盖的问题，能让人直接包含任意文件。什么意思？攻击者可以让你服务器执行他上传的恶意代码。很多站为了图方便，`data`目录权限给得贼大，这下好了，传个图片马，配合文件包含，直接拿shell。我见过一个县级单位的站，被拿了shell之后，攻击者没干别的，就在根目录放了个`1.php`，内容就一行：`hacked by 小学生`。你说气不气人，但确实反映了当时织梦生态的脆弱程度。

织梦官方其实不是没动作。2018年之后陆续修了一些，但问题在于：大量老站根本没人管。很多站长是兼职的，甚至就是单位里某个懂点电脑的行政人员，建完站就不管了。你让他升级？他连后台在哪登录都忘了。这就导致一个现象：新漏洞一出，扫描器全网一刷，倒下的全是这些“僵尸站”。

还有一个点容易被忽略——织梦的`/tpl.php`和后台文件管理功能。如果攻击者能进后台（通过弱口令或者SQL注入拿到的），那基本等于拿到了服务器钥匙。后台有个“文件管理器”，可以直接编辑模板文件，写入PHP代码。很多管理员为了省事，后台密码设成`admin`，或者干脆用默认的`dedecms`。我做过一个粗略统计，在某个二线城市的政府站群里，至少三成后台口令是弱密码。

那现在织梦还能用吗？实话实说，如果你非要用来建新站，建议直接放弃。官方虽然还在更新，但历史包袱太重，代码里到处都是`extract()`、`parse_str()`这类危险函数。而且社区活跃度大不如前，出了问题你去论坛问，回复你的可能也是卖挂马的。真要用，至少做到三点：后台目录改名、`data`目录禁止执行PHP、把`/plus/`下不用的文件全删了。但说实话，有这功夫，不如换个更现代的CMS。

最后说个真事。去年有个客户找我，说他织梦站被挂了博彩链接。我上去一看，`/plus/`下面多了个`newss.php`，内容加密过的。查日志发现，攻击者用的正是2014年就公布的一个老漏洞。九年了，补丁都没打。你说这是织梦的错，还是人的错？都有。但织梦这个框架本身的设计思路——方便优先、安全靠后——注定它会在漏洞史上留下浓墨重彩的一笔。

(责任编辑：娱乐)