国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號(hào):CNTA-2014-0009

近日，國(guó)家信息安全漏洞共享平臺(tái)（CNVD）對(duì)國(guó)內(nèi)應(yīng)用廣泛的網(wǎng)站內(nèi)容管理軟件DEDECMS（又稱“織夢(mèng)”CMS） 存在的一個(gè)SQL注入高危漏洞進(jìn)行監(jiān)測(cè)后發(fā)現(xiàn)，針對(duì)該漏洞的攻擊近期呈現(xiàn)大規(guī)模爆發(fā)趨勢(shì)，對(duì)網(wǎng)站運(yùn)行安全和用戶個(gè)人信息安全構(gòu)成較為嚴(yán)重的威脅。具體情況通報(bào)如下：

一、? 漏洞情況分析

DEDECMS是由上海卓卓網(wǎng)絡(luò)科技有限公司生產(chǎn)的一款網(wǎng)站建站系統(tǒng)軟件，在國(guó)內(nèi)政府、高校、企事業(yè)單位以及個(gè)人用戶網(wǎng)站中應(yīng)用較為廣泛。2014年2月25日，該軟件被披露存在一個(gè)高危漏洞（CNVD收錄編號(hào)：CNVD-2014-01382)。至2月28日，針對(duì)該漏洞的攻擊利用代碼和相關(guān)利用工具在互聯(lián)網(wǎng)上已經(jīng)被公開(kāi)傳播。漏洞存在于/plus/recommend.php頁(yè)面，由于頁(yè)面參數(shù)未進(jìn)行嚴(yán)格過(guò)濾，存在SQL注入漏洞。

攻擊者可利用漏洞直接獲得網(wǎng)站數(shù)據(jù)庫(kù)信息（包括后臺(tái)管理員賬號(hào)和口令信息），進(jìn)而取得網(wǎng)站后臺(tái)管理權(quán)限，后續(xù)可進(jìn)一步滲透取得網(wǎng)站服務(wù)控制權(quán)。

二、漏洞影響范圍

CNVD對(duì)漏洞的綜合評(píng)級(jí)為“高危”。受漏洞影響的DEDECMS 版本包括V 5.7SP1及以下版本。由于漏洞危害大且易于利用，CNVD聯(lián)合上海交通大學(xué)組織開(kāi)展對(duì)該漏洞攻擊情況的監(jiān)測(cè)，并加大對(duì)存在漏洞的政府和高校網(wǎng)站的處置通報(bào)力度。

根據(jù)CNVD抽樣監(jiān)測(cè)結(jié)果，3月3日至9日，互聯(lián)網(wǎng)上有2668個(gè)攻擊源IP發(fā)起漏洞攻擊，其中境外攻擊源IP占22%（589個(gè)）, 境外攻擊源IP中自中國(guó)香港地區(qū)和美國(guó)的較多，分別有163個(gè)和155個(gè)。上述2668個(gè)攻擊源IP共嘗試掃描了48661個(gè)網(wǎng)站IP主機(jī)，其中474個(gè)網(wǎng)站IP因存在漏洞被攻擊成功。從時(shí)間周期看，如下圖所示，在一周之內(nèi)被嘗試攻擊的網(wǎng)站數(shù)量呈現(xiàn)上升趨勢(shì)并保持在高位，在3月8日達(dá)到峰值，被攻擊成功的網(wǎng)站IP達(dá)到286個(gè)。

根據(jù)CNVD成員單位——上海交通大學(xué)網(wǎng)絡(luò)信息中心在華東地區(qū)教育網(wǎng)內(nèi)的監(jiān)測(cè)結(jié)果，共有1903個(gè)攻擊源IP對(duì)9972個(gè)網(wǎng)站IP發(fā)起嘗試攻擊。如下圖所示，從2月26日至3月8日，被攻擊網(wǎng)站IP數(shù)量總體呈現(xiàn)遞增趨勢(shì)。

針對(duì)黑客發(fā)起大規(guī)模漏洞攻擊的情況，CNCERT組織協(xié)調(diào)全國(guó)分中心以及教育網(wǎng)應(yīng)急組織（CCERT）加大漏洞通報(bào)和處置力度， 3月3日至13日共計(jì)通報(bào)政府、高校和電信行業(yè)網(wǎng)站存在DEDECMS漏洞事件超過(guò)100起。

三、漏洞處置建議

目前，DEDECMS軟件生產(chǎn)廠商已經(jīng)發(fā)布了針對(duì)該漏洞的相關(guān)補(bǔ)丁。建議用戶及時(shí)到生產(chǎn)廠商官方網(wǎng)站下載補(bǔ)丁程序及時(shí)升級(jí)。同時(shí)，建議禁止外部無(wú)關(guān)IP或用戶訪問(wèn)網(wǎng)站后臺(tái)管理地址。

CNVD將持續(xù)跟蹤漏洞處置情況，如需技術(shù)支援，請(qǐng)聯(lián)系CNVD。聯(lián)系電話：010-82990286，郵箱：vreport@cert.org.cn，網(wǎng)站：?www.cnvd.org.cn。

相關(guān)安全公告鏈接參考如下：

http://www.cnvd.org.cn/flaw/show/CNVD-2014-01382

http://www.freebuf.com/tools/27206.html

http://paper.wooyun.org/bugs/wooyun-2014-051950