電商安全談CMS Discuz等開源建站程序漏洞防護

時間：2023-03-11 12:54:01 | 來源：電子商務

時間：2023-03-11 12:54:01 來源：電子商務

在中國 現(xiàn)在要做一個站長很容易，網(wǎng)上鋪天蓋地的開源建站程序可以滿足您的任何需求;然而，做一個站長又是那么的難，網(wǎng)站每天都要面臨各種各樣已知未知的“威脅”，開源的cms或者論壇程序固然好用，然而用的人多，研究的人更多，出現(xiàn)一個小小的漏洞，官方補丁打的不及時的話，對一個網(wǎng)站來說，那就是滅頂之災。

好在多虧我們廣大的黑客圈朋友，要是沒有他們，網(wǎng)絡恐怕也沒有現(xiàn)在這么安全，我們的開發(fā)商在被黑過無數(shù)次之后，程序一次次的加固，現(xiàn)在想找到一個discuz漏洞，或者phpcms的漏洞，比登天的難度估計差不了多少;而在黑市，這些少數(shù)人掌握的漏洞利用程序的出售價也接近天價了。

現(xiàn)在的cms系統(tǒng)程序是越來越智能了，大多數(shù)的開發(fā)商學習了國外的插件模式，主程序開發(fā)的非常簡單，也就是一個框架，然后把剩下的功能都做成模塊形式，用戶可以選擇性的使用這些功能，這樣做的好處，一來可以使系統(tǒng)更加精簡;二來，可以增強cms系統(tǒng)的靈活性和擴展性;那么插件的使用是否有壞處呢?答案是肯定的，不僅有壞處，而且可能會給站長朋友帶來滅頂之災!

玩過黑客的朋友都知道，想要黑一個網(wǎng)站，只需要找到這個網(wǎng)站所用程序的一個漏洞，上傳一個webshell就能進而控制整個網(wǎng)站，而很多國內(nèi)的開源cms程序，他們大多數(shù)的插件都是由用戶開發(fā)上傳共享給大家的，當然，分享是件好事，然而，某些別有用心的開發(fā)者，比如黑客們，制作了一些帶有后門的“特殊插件”，然后發(fā)布到論壇，等待著用戶的下載，一旦用戶安裝并使用這些插件，黑客們就可以通過內(nèi)置的后門程序控制整個網(wǎng)站!這有點像當年傳播病毒的手法哦~:)

在綠盟的漏洞開放平臺，我們可以看到很多cms插件都存在各種各樣的問題，畢竟大多數(shù)的開發(fā)者都是業(yè)余程序員。

看看這個discuz插件，居然還存在簡單的sql注入漏洞!簡直是太恐怖了!國內(nèi)使用discuz做論壇的不下50W用戶，哪怕1/3的用戶安裝了這個插件，我們都不敢想象會出現(xiàn)什么樣的結果...

作為搞電商的站長朋友，我們該如何預防插件漏洞對網(wǎng)站的影響呢?

首先，不要盲目下載各類插件。不要看到新插件就圖新鮮下載下來測試，這些新插件都沒有經(jīng)過嚴格的測試就發(fā)布出來了，就算沒有漏洞，萬一對你數(shù)據(jù)庫造成破壞那也不好吧~

其次，盡量下載大量用戶使用的插件。葛優(yōu)說過，哪家人多我選哪家，插件也是一樣，那些經(jīng)久不衰，歷經(jīng)大家考驗的插件，肯定是好插件，下載它吧，錯不了!

再者，不要到不知名的軟件下載網(wǎng)站下載插件，盡量到官方網(wǎng)站下載認證過的插件。電商圈下載博客插件都是去官方網(wǎng)站下載，最起碼官方不會坑咱吧

最后，在這里對國內(nèi)的開發(fā)商們說一聲，對網(wǎng)站插件要進行定期檢測公布管理，甚至可以組織網(wǎng)站程序員對插件進行安全檢測，為用戶提供這樣的安全服務，又可以為自己創(chuàng)造效益，雙贏的事，何樂而不為呢?學習下wordpress，現(xiàn)在有30000多個插件了，但是他們把每一個插件都經(jīng)過嚴格認證后才發(fā)布到官方網(wǎng)站上!這種精神難道不值得所有國內(nèi)開發(fā)商學習嗎!

在這里也給各位小黑老黑們說聲：做站長的，起的比雞早，睡的比狗晚，每天累死累活的更新網(wǎng)站，只求解決個溫飽問題，一旦被人黑了網(wǎng)站，連飯都沒得吃，這些人都是在用自己的生命賺錢，賺小錢養(yǎng)家糊口，都是窮苦百姓，還希望你們能高抬貴手，放過這群可憐的草根們吧!

ibxboy，首發(fā)電商圈博客