Dedecms V5.6 Final 及以前版本模板执行漏洞
一、漏洞介绍:
Dedecms V5.6 Final版本中的各个文件存在一系列问题,经过精心构造的含有恶意代表的模板内容可以通过用户后台的上传附件的功能上传上去,然后通过SQL注入修改附加表的模板路径为我们上传的模板路径,模板解析类:include/inc_archives_view.php没有对模板路径及名称做任何限制,则可以成功执行恶意代码。
二、漏洞细节:
...一、漏洞介绍:
Dedecms V5.6 Final版本中的各个文件存在一系列问题,经过精心构造的含有恶意代表的模板内容可以通过用户后台的上传附件的功能上传上去,然后通过SQL注入修改附加表的模板路径为我们上传的模板路径,模板解析类:include/inc_archives_view.php没有对模板路径及名称做任何限制,则可以成功执行恶意代码。
二、漏洞细节:
...淘宝店铺千千万,淘宝商品更是万万千,怎样快速找到自己想买的低价正品呢?对淘宝老手来说,这也是不容易的事情,更别说新手了。
淘宝商家鱼龙混杂,其中不乏有不良商家卖假货欺骗消费者。就连我这个有几年网购经历的老鸟也曾经上过当。前段时间与朋友抱怨时,朋友转了一个【淘宝内部员工的购物通道】给我,据说是离职员工泄漏的。让我以后购物从内部通道进入。以下是原文,大家帮忙分析一下是否可信:
如果你有过网购经历,你一定知道淘宝网,你知道taobao.com这个网址可以进入淘宝网首页,但你肯定不知道淘宝网还有各种特殊购物通道;比如:正品商城通道,从这里进入全是淘宝网的品质商家,不担心受骗上当买到假货;淘宝网促销通道,找促销商品从此进入就对了;........
1、【淘宝网促销】入口
找促销特价商品,从这个入口进入就对了。
http://pindao.huoban.taobao.com/tms/channel/channelcode.htm?pid=mm_10472433_0_0&eventid=101329 【点击右键打开】
2、【淘宝网正品商城】入口
从这里进入全是淘宝网的品质商家,不再担心受骗上当买到假货了。
http://pindao.huoban.taobao.com/tms/channel/channelmall.htm?pid=mm_10472433_0_0&eventid=101334 【点击右键打开】
3、【淘宝网店铺街】入口
淘宝网各行业的优秀店铺Top10排行榜,数据每天更新。从这里进入,找好店铺太容易了。
http://pindao.huoban.taobao.com/tms/channel/onsale.htm?pid=mm_10472433_0_0&eventid=101586 【点击右键打开】
4、【淘宝网品牌库】入口
按各知名品牌分类,比如你想找Nokia品牌的相关商品,从这里进入就能方便的找到该品牌的优质卖家了。
http://pindao.huoban.taobao.com/tms/channel/taobrandchannel.htm?pid=mm_10472433_0_0&eventid=101605 【点击右键打开】
5、【淘宝网风云榜】入口
买家搜索最多的商品、最关注的品牌、销量最大的商品、关注指数、一周热点等信息,尽在【淘宝风云榜】。
http://pindao.huoban.taobao.com/channel/channelfy.htm?pid=mm_10472433_0_0&eventid=101325 【点击右键打开】
6、【女装特卖】入口
如果你想购买女装类商品,可从这里进入。
http://pindao.huoban.taobao.com/tms/channel/lady.htm?pid=mm_10472433_0_0&eventid=101345 【点击右键打开】
7、【美容美妆】入口
如果你想购买美容美妆类商品,从这里进入。
http://pindao.huoban.taobao.com/tms/channel/beauty.htm?pid=mm_10472433_0_0&eventid=101328 【点击右键打开】
8、【鞋包饰品】入口
如果你想购买鞋包饰品商品,请从这里进入。
http://pindao.huoban.taobao.com/tms/channel/jewelry.htm?pid=mm_10472433_0_0&eventid=101331 【点击右键打开】
9、【台湾风尚】入口
全是来自祖国宝岛台湾的时尚服饰,美女们可注意了啊。
http://pindao.huoban.taobao.com/tms/channel/taiwan.htm?pid=mm_10472433_0_0&eventid=101350 【点击右键打开】
10、【淘宝网食品】入口
美女们淘可口零食的最好地方。零食特产/营养膳食食品/茶叶饮料
http://pindao.huoban.taobao.com/tms/channel/food1.htm?pid=mm_10472433_0_0&eventid=101865 【点击右键打开】
11、【淘宝网男装】入口
如果你想购买男装类商品,可从这里进入。
http://pindao.huoban.taobao.com/tms/channel/man.htm?pid=mm_10472433_0_0&eventid=101330 【点击右键打开】
12、【居家生活】入口
如果你想购居家生活类商品,请从这里进入。居家日用/创意家居/床上用品/靠垫/窗帘/布艺 /厨房餐饮/卫浴护理 /家饰/工艺品/十字绣,尽在【居家生活】
http://pindao.huoban.taobao.com/tms/channel/baby.htm?pid=mm_10472433_0_0&eventid=101326 【点击右键打开】
13、【数码手机】入口
如果你准备淘淘数码类商品,请从这里进入。电脑/笔记本/品牌手机 /MP3/MP44 /山寨手机 /数码相机/摄像机 /配件/存储/文教,尽在【数码手机】
http://pindao.huoban.taobao.com/tms/channel/digital.htm?pid=mm_10472433_0_0&eventid=101332 【点击右键打开】
14、【淘宝电器城】入口
品牌电器、正规发票,淘宝网与京东商城、新蛋等竞争的新武器。
http://pindao.huoban.taobao.com/tms/channel/electric.htm?pid=mm_10472433_0_0&eventid=101333 【点击右键打开】
15、【特卖商城】入口
应有尽有,全是降价特卖商品,淘便宜的MMGG们可以去看看哦。
http://pindao.huoban.taobao.com/tms/channel/onsale.htm?pid=mm_10472433_0_0&eventid=101586 【点击右键打开】
16、【品质店铺精选】入口
淘宝网官方推荐的正品低价好店铺,从这里进入,可以放心选购哦。
http://pindao.huoban.taobao.com/tms/channel/channelmall.htm?pid=mm_10472433_0_0&eventid=101334 【点击右键打开】
呵呵,就这些啦,我朋友要我别告诉外人的(我觉得没关系啦,淘宝网那么多员工;谁知道是从哪泄漏出来的),希望对你有帮助。
================================================================
我分析了一下:
有以下几个疑点,
1、网址为何不是www.taobao.com,前面还有一串pindao.huoban.taobao.com是否有咋?
我问了另外一个做网站的朋友,他说前缀是没问题的,上面16个入口打开的的确是淘宝的官方网站的页面。
2、网址没问题,为何打开的不是淘宝网首页呢?
朋友说,内部通道嘛,当然就不是直接打开首页了;如果是在首页,那还不是地球人都知道啦。
3、这些页面上的店铺、商品都是淘宝网的吗?
我自己做了一下比较,通过这些通道进入,打开的店铺与在淘宝网首页找到的店铺,店铺名称是一样的,旺旺也是相同的,商品信息也是一致的。
据此,我判断基本是可信的;于是我就试探性的买了件29元钱的T桖衫,被骗也就29元;结果卖家很热情,服务态度很好,很快就收到货了,纯棉的,很满意!经验证,是可信的;
淘宝店铺千千万,淘宝商品更是万万千,怎样快速找到自己想买的低价正品呢?对淘宝老手来说,这也是不容易的事情,更别说新手了。
淘宝商家鱼龙混杂,其中不乏有不良商家卖假货欺骗消费者。就连我这个有几年网购经历的老鸟也曾经上过当。前段时间与朋友抱怨时,朋友转了一个【淘宝内部员工的购物通道】给我,据说是离职员工泄漏的。让我以后购物从内部通道进入。以下是原文,大家帮忙分析一下是否可信:
如果你有过网购经历,你一定知道淘宝网,你知道taobao.com这个网址可以进入淘宝网首页,但你肯定不知道淘宝网还有各种特殊购物通道;比如:正品商城通道,从这里进入全是淘宝网的品质商家,不担心受骗上当买到假货;淘宝网促销通道,找促销商品从此进入就对了;........
... 阅读全部一、新网站收录快,考验时间变长
如果在最近一个月做新网站的朋友可以意识到,百度抓取新网站的速度变快了,笔者有一个做情侣项链的网站,上线一天,然后在论坛里发了一条外链,当天百度顺着那个链接就收录了首页。当时我自己也不信会抓取的这么快,我又拿了一个刚做好的互动投影的站进行测试,当然也是当天就是收录了,说明百度更喜欢抓取新站。但是,收录首页后,百度就把网站快照定在了那天,坚持更新文章和外链一个月后,还是不变,这说明百度收录新站容易,但是要对新站有很严格的考核期,这个考核期我估计会是2个月左右,在这期间,站长朋友们切不可掉以轻心,要坚持原创的力度和稳定的外链链建设,过来审核期网站才会慢慢有起色。
二、相似度高的网站被降权
搜索引擎很痛恨相似度过高的网站,尤其是影子网站,百度在这方面加大了管理力度,这个在一方面也说明了百度很重视用户体验,试想,给大多数相似的网站排序,而且排在一起当然对用户不好,用户找不到需要的信息,那还要搜索引擎有什么用?这个我也深有体会,我有一个淘宝客单页面的网站,模板是网上下载的,简单修改了下代码,然后就上线了,无论我怎么努力添加内容和外链,现在都一个多月了,百度根本不鸟这个站,所以这种相似模板的站也是不好的。建议大家从网上下载的模板要做大量的修改才用,不然得不偿失。
三、给站群严重降权
站群现象是这几个月以来在广大站长圈里讨论的最激烈的话题了,这个是找准了百度的技术漏洞了,百度在短时间内根本无法解决这个问题,只能搞人工降权了,但是有一个问题是,他能针对一个行业搞人工降权,但是不能针对所有行业。现在那些搞站群的人就少抓住了这个软肋,既然“左旋肉碱”的词被降权,那么“神魔大陆”和“北京办证”等等词又一次弓虽女干了百度,百度很无语,用心做站的站长更是气不打一处来。但是,气归气,站还是要用心做的,我们没资源,没资金,只能安心做站,毕竟站群并非长久之计,虽然他们这么做伤害了用户体验,伤害了用心的站长的心,但是我们相信百度把这些技术漏洞解决了,他们的日子也就到头了。总之,好好做站吧。
四、内部链接构造好的站给予优先排名
百度现在非常重视内部链接,网站内部链接构造的好,可以优先获得排名,内部链接如何构造,我想很多人都总结了吧,根据HITS算法,枢纽页和权威页的设置是很重要的,要合理分配内部链接。至于什么次导航之类的还是不要做吧,那个根本就是不好的做法,链接到一个页面的多个锚文本只会被计算一次,那么基本上后面的都没用,这也就是文章里为什么第一次出现的要添加锚文本,后面的不用加的原因了。再有,内部链接的构造要有相关性,比如一篇文章是描写一个产品,那么相关文章推荐就弄和这种产品相关的资讯,而不是胡乱构造内部链接。至于其他的面包屑、锚文本等等大家可以在网上找到好多文章阅读。
五、外部链接过多的新站给予降权
新站在短时间内增加大量外链不是好事,其实站在搜索引擎的角度考虑,一个新站怎么可能在短时间内有那么多人来引用呢?除非你自己去发链接,这就是百度给予新站外链过多进行降权的原因。在一个新站刚建立的时候,我们还是用心的做好网站内容,等过了3个月后,再进行适当的外链建设,这才会让网站权重提升,进而提升关键词排名的不二法门。
六、外链相关性高的站给予优先排序
很多网站外链过多,但是排名不佳,这可能就是外链的相关性不好,你是做船用气囊的,你跑到扑克类的论坛发外链有用吗?相关性很重要,尤其是百度在相关性判断上很牛,一个和网站主题相关的外链要好过一堆无用的外部链接。很多人喜欢到天涯问答里发外链,这里我要说的是一定要找对板块,不要上来就发,累死人不说,最后的效果甚微。
七、原创内容质量高的给予优先排序
原创内容在任何时候都是受欢迎的,不管搜索引擎算法如何变动,都不可能不喜欢原创的东西,再说,搜索引擎的本质的就是满足用户的需求,当某一天用户搜不到所需的内容,那么搜索引擎的末日也就来临了。所以,不管算法如何变动,你安心的做好网站内容,坚持下去,那么一年以后,你的站权重一定很高,这是必然。
八、网站更新频率好的网站权重好
网站的更新频率是对搜索引擎友好的表现,搜索引擎更喜欢更新有规律的网站,必然站长网更新文章的规律就很好,蜘蛛活跃也就很频繁,抓取信息也就更快。我们的网站也是一样,每天要定时定量的更新内容,这样利于培养蜘蛛习惯,时间长久了,蜘蛛就会在这个固定时间段内来抓取网站内容。更利于我们网站权重的提升和关键词的排名。
九、百度优先抓取动态URL
很多人觉得这个是我胡扯,网上很多不是说百度更喜欢静态的URL吗?没有实践就没有发言权,我没有一定的证据就不会这么说。我通过观察两个网站进行测试,发现百度确实优先抓取的是动态的URL,一个是我自己的潮流购物论坛,一个是站长网A5,我自己的论坛是用了伪静态,但是每天发的新帖子都会优先收录的是动态的那个URL,而静态的要隔天才会收录。在A5上,大家不知道注意没有,当你文章审核通过后,你在百度输入你的文章标题后,优先出现的不是更新的静态URL,而是那个动态的就是编辑审核状态的那个URL。这个是观察所得,不知道大家有没有这个发现。
很多朋友同时写多个博客,每写一次,要登录多个网站,中间输入账号密码,等待网页打开,要花费不少时间。如果博客能离线写好,然后统一发送到网站上去,那样会节省很多时间。
微软的msn space有了这么一款工具,不过只支持在MSN space上的博客。对于国内各大门户网站无能为力。
不过已经有支持国内博客的软件了,菊子曰博客离线写作软件,支持国内各大博客,包括百度空间、新浪博客、网易博客、sohu博客,甚至中金博客等商业博客。
使用非常方便,下载一个软件安装上,打开软件就像用word一样编辑完毕,点发送,即可同时发送到您预先设置好的博客网站上去。
点击发布后,即可快速发布到网站上
博客离线写作软件 - 菊子曰(yue)主要功能
其它功能特点:
这款软件需要你在网站上注册一个账号,然后下载软件,使用账号登录后方可使用。
作者使用这款软件写博客,每天节省50%的写博客时间。快去看一看吧。点此注册。
很多朋友同时写多个博客,每写一次,要登录多个网站,中间输入账号密码,等待网页打开,要花费不少时间。如果博客能离线写好,然后统一发送到网站上去,那样会节省很多时间。
微软的msn space有了这么一款工具,不过只支持在MSN space上的博客。对于国内各大门户网站无能为力。
不过已经有支持国内博客的软件了,博客离线写作软件,支持国内各大博客,包括百度空间、新浪博客、网易博客、sohu博客,甚至中金博客等商业博客。
使用非常方便,下载一个软件安装上,打开软件就像用word一样编辑完毕,点发送,即可同时发送到您预先设置好的博客网站上去。
... 阅读全部百度惩罚严重的称为“拔毛”或“被K”,也就是网站严重被降权了,当然我也有个实际的例子向大家证明我的我的方法可行,现在我们的优化的有一个网站降权了,算是轻微型的,通过我们团队对网站降权的成功经验总结,就由我和大家分享一下恢复网站降权的处理办法...
阅读全部网页设计,平面设计必用photoshop,工作量很大时,使用快捷键能加快操作速度,减少工作时间。下面把常用photoshop 快捷键收集到了一起,以备查用。成都网站建设博客
一、photoshop工具箱快捷键(多种工具共用一个快捷键的可同时按【Shift】加此快捷键选取)
矩形、椭圆选框工具 【M】
...
网站转载的。。。
1、家用电器及办工器材 索尼SONY 佳能CANON JVC TDK 松下Panasonic 卡西欧CASIO 建伍KENWOOD 爱华aiwa 精工SIEKO 尼康NIKON 日立HITACHI 兄弟Brother 先锋Pioneer 东芝TOSHIBA 阿尔派 NEC 美能达 奥林巴斯 夏普 富士通 爱普生 美上美 理光 京瓷 柯尼卡 三洋(富士、柯尼卡、索尼、JVC、松下、东芝、奥林巴斯。这些公司均出资支持日本右翼修改教科书,否认南京大屠杀和侵华史实。)
...
阅读全部变化一、百度加强了站点用户体验提升,对用户体验不好的站点进行了降权。
1、站点弹窗广告。对于这类站点做了适当的降权。
2、页面或者站点首页充斥了大量JS代码的站点内容予以适量降权。
3、参与了联属计划站点进行了降权(注意:如果原创性内容丰富的页面不计算在内)
4、加强了双向链接站点(友情链接)降权,这里主要包括2部分。
变化二、牵连降权问题严重。
变化三、双向链接过多(超过10-20以外的)予以降权。
... 阅读全部社区电子商务一直被人曲解,人们一会认为社区电子商务就是淘宝式的电子商务平台,一会认为groupon式的团购就是社区电子商务。那么,社区电子商务的产品形态或者实现方式究竟是怎样的呢?甚至我们需要思考,社区电子商务究竟是什么样的东西?
笔者第一次认识到社区电子商务是通过一个案例:
2005年,南京篱笆网上有一个商家——大家风范实木工艺门,老板的网名叫做曾经沧海。他在篱笆论坛从不发广告,可是每个月的团购金额有30万,好几位团头帮他组织。他是怎么做的?
... 阅读全部5个分析关键词竞争程度的方法分享给大家。
一、看关键字的搜索结果数(SERP)
在百度或者谷歌输入框中输入该关键词,看当前搜索引擎返回的结果数量,返回数量越多,则表示竞争程度越大,返回数量越少,当然就表示竞争度要小了。
萧涵将此结果数量做了一个竞争力等级如下:
搜索结果少于50万:属于弱词;
搜索结果50-100万:属于中等偏小的词;
搜索结果100-300万:属于中等词;
... 阅读全部销售文案,根据AIDMA法则演变而来的模板:
================================
第一步,抓住注意力 。强调一个好处,一个结果,一个利益。
第二步,激发他的兴趣 。告诉对方,他值得这样去做。
第三步,建立信赖感。通过真实的故事,或是视频,图片来建立信赖感。
...
阅读全部接下来,你应该开始灌输你的产品价值到读者的头脑中。
一个故事,绕开读者心灵的“铁闸”,直接注入他的内心。
但是,由于读者的眼睛已经被每天扑天盖地的广告所充斥,所以,单独的介绍产品信息,其效果并不好。
在此,我建议你采取一种“润物细无声”的作法,就是“讲故事”。好的故事可以绕开读者心灵的“铁闸”,直接注入他的内心。
人们都喜欢读故事。新闻报、电视台、广播电台的吸引人的报道里,往往都以一到两个故事开头——不信的话,你可以翻开手边的报纸来验证一下。
... 阅读全部在销售型网页文案的最开头,你必须牢牢地吸引住你的读者。这样才能“诱使”他接着读后面的信息。
所以,好的“引言”将快速提升读者的欲望与兴趣。
在这里,我分享一种通用的“引言模板”,你可以即学即用。
这就是“如果你……,那么……”模式。
前面我们介绍了 ,好的标题要“陈述清楚能获得的最大的好处”或是能解决的大问题”。
... 阅读全部销售文案又称销售信,撰写网络销售文案重要吗?如果你咨询网络创业菜鸟的话,他会说“ON、ON、ON”。接下来你可能也会知道我说什么.........对,当然很重要拉。
我了解的撰写网络销售信的高手有两位,分别是刘克亚老师和王紫杰老师。
从今天起我将和你分享如何撰写的“销售信文案写作技巧”,废话少说,请看!!!
——————————————————————————————————————
...
阅读全部我们不断地从各种地方,听到各种关于用户体验优化的技巧或提示,其中许多乍一听都很富有逻辑,但是假如我们能找到真实的数据和报告去验证这些理论或猜想,显然就能更好地确认预期效果。
本文讨论一些用户可用性方面的研究发现,这些研究结果的获取,主要通过视觉轨迹、数据统计报告、以及关于网站可用性改进方面的调研。你将会发现,许多可用 性优化的提示是众所周知的,但是得到了更好的数据支持;与此同时,你也能得到一些惊喜,这些发现可能会改变你对目前网页设计方式发展走向的看法。
... 阅读全部我是一个创业者,在我还在作创业梦时,我曾因为兴趣在创投工作过,我也曾因为兴趣而写作而出了12本书,好笑的是,后来真的让我在创业上有突破的,不是创投的工作,却是“写作”。写作的力量,一再又一再的让我自己感到“惊喜”。
而这点正逐渐证明在一些新创网站中,写作绝对不是创业成功之道,但它可以是一个“秘密武器”,尤其是在巧妙的“情境安排”下,配合了关键的写作者,可能达成一些平时做不到的事。比方说,最近热门的团购网站Groupon在今年的DEMO Fall台上接受访问,他们竟然说,Groupon的成功,在技术上不是很重要,重要的竟然是“写作”,然后透过最普通却最大众化的管道──电子邮件,来布达他们的折价讯息! Groupon竟然聘用了高达70位写手,全职每天每小时在写它每日团购商品的文案。
... 阅读全部打开Google或者百度,在搜索框里填入“城市名+SEO”,你会发现几乎每个大中城市都有了一个所谓的SEO网站(博客)。SEO,全称是Search Engine Optimization,一般译为搜索引擎优化。通常可以将搜索引擎优化理解为通过某些行为(网站优化)提高网站在搜索引擎的排名从而提高网站曝光率的活动的总称。
... 阅读全部Copywriter不一定要自己设计landing page,不过作为一名广告文编写人你需要了解有效的landing page设计的原则,这样你才能更好的与专业的landing page设计师沟通和交流。理解landing page设计原理有利与你和你的团队认准相同的目标,并提升产品的转换。
关于页面布局,Omniture最近发表了一个叫做 Best Practices for Conversion: The New Engagement Funnel in 7 Steps的白皮书,在其中的第三步:组织和优化网站结构中详细介绍了页面布局相关的基本方针,通过他的指南可以帮助你更好的组织和格式化你的landing page:
... 阅读全部