什么是Dedecms重定向漏洞？
Dedecms重定向漏洞 顾名思义，是指在Dedecms系统中特定页面存在任意URL跳转的平安隐患那个。攻击者通过构造恶意URL参数， 可以让网站跳转到不受信任的第三方地址，从而诱导用户访问钓鱼网站或传播恶意代码。
此类漏洞通常发生在程序没有对跳转链接进行严格校验和过滤时 导致参数中的跳转地址被直接用于HTTP响应头中的Location字段，形成“开放重定向”风险。
360检测到的Dedecms重定向漏洞具体表现在哪？
360网站平安检测平台发现，Dedecms 5.7版本中的/plus/download.php文件存在该漏洞。具体表现为：
$link参数经过Base64解码和URL解码后没有有效限制目标地址范围。header;直接将未经验证的地址传递给浏览器实现跳转。- 攻击者可构造带有恶意URL参数的链接，实现跨站点跳转，威胁用户信息平安。
典型代码示例
$link = base64_decode);
header;
如上代码中对$link没有做合法性校验，即使是看似正常的Base64编码也无法防止恶意利用。
为什么这个漏洞危害严重？
DedeCMS重定向漏洞带来的风险主要包括：
- 用户钓鱼攻击：通过诱导点击恶意链接，引导用户进入虚假站点窃取账号密码等敏感信息。
- 搜索引擎降权：开放重定向会被搜索引擎判定为不平安行为，影响网站SEO排名与权重。
- 品牌信誉受损：若用户频繁遭遇异常跳转， 信任度降低，对企业形象造成负面影响。
- CSP绕过及XSS辅助：部分情况下 可配合其他攻击手段，加剧平安隐患。
Dedecms官网推荐的官方修复方案是什么？
Dedecms官方针对该问题建议采取升级程序至最新版本, 主要原因是新版中针对该漏洞已经进行了完善处理， 比如限制了跳转域名范围、强化了输入过滤等。升级步骤大致如下：
- 备份当前网站文件与数据库， 以防升级失败时能快速恢复；
- 下载官方最新发布的Dedecms安装包；
- 替换核心文件，但保留自定义修改过的重要模板和配置文件；
- 施行数据库升级脚本；
- 完成后进行全面测试，包括前后台功能与平安扫描；
- 部署后
使用360平安检测确认漏洞是否已修复；
*，需要做好充分测试准备！
不升级怎么办？如何手动修复Dedecms download.php重定向漏洞？
如果因项目周期或兼容问题暂不能升级， 可以采用以下手动修补方法确保短期内规避风险：
1. 定位download.php中凶险代码行数
//原始高危代码示例
$link = base64_decode);
header;
exit;
2. 添加白名单域名检测限制，不允许任意外部链接跳转
//定义允许跳转的主机
$allowed_hosts = array;
//解析URL host部分
$url_host = parse_url;
//判断是否在允许列表内
if ) {
//拒绝非法域名跳转，可改为返回首页或者错误提示
header;
exit;
}
//合法才施行跳转
header;
exit;
*
3. 参数严格过滤及编码避免注入
- 对接收到的参数进行HTML实体转换避免XSS;
- 函数校验传入的数据格式;
- 用正则表达式匹配特定格式;
//示例：对$link先做url解码， 再用filter_var验证是否为合法URL
$link_raw = urldecode;
if === false){
//非法链接，则默认指向主页
$link = 'https://www.yoursite.com';
} else {
$link = $link_raw;
}
header;
exit;
4. 避免使用Base64解码直接传参
- Base64虽然表面上能防止直接明文暴露链接，但反而增加混淆，使检查更困难。建议直接使用URL编码形式，并结合严格校验代替。
Dedecms重定向漏洞修复实例演示
以下以某客户案例说明如何定位并解决download.php中的open redirect问题：
- - 客户反映360网站平安检测报出V5.7版本存在download.php url redirection高危警告；
- - 登录服务器， 通过FTP/SSH找到/plus/download.php文件，定位第89行左右含有“header”字样；
- - 查看该段前置代码发现$link未经过任何合法性判断即施行base64和urldecode后直接调用头部跳转；
- - 按照上述白名单方法，自定义$allowed_hosts数组加入客户自家域名及常用子域名；
- - 在header调用前插入host白名单判断逻辑，并增加filter_var校验保证$url_host非空且是有效域名格式；
- - 保存修改上传后
运行360网站平安扫描工具确认已无相关高危警告产生；
- - 一边对业务流程中所有调用download.php接口处传参均做相应规范化管理，防止二次出现绕过情况；
- - 建议客户制定周期性的全站扫描计划以及备份策略保障长期稳定运行。
DedeCMS系统平安意识提升建议及防范措施一览表 ✔️✔️✔️ ✔️✔️✔️ ✔️✔️✔️ ✔️✔️✔️ ✔️✖❌❌❌❌❌☢☣⚠⚠⚠⚠⚠⚠⚡⛔⛔⛔⛔⛔⛔🌐💻🛡🔒🔑🔍📡📢📢📢🎯🧩🗂✏✍📜🚨🚨🚨🚨🚨🚨→→→→→→➡➡➡➡⬅⬅⬅⬆⬇↗↘↙↖↩↪↫↬↭↮〰〰〰〰〰〰〰〰〰➕➖➗✖⭕✳❎✅‼‼‼‼‼😱😱😱😱😱😈🤖🤡🤥🐍🐞🐜🐝🐞🦟🦗🐛🦋🍀🌿🌾🍂🍁🌹🌺🌻🥀🍄💐🌸🏵✨💫🔥💥💣💊💉☣👾👽👻🎃🎄🎁🎊🎉🔮🧿📿🧩♾♻♿🏴☠️🇨🇳🇺🇸🇯🇵🇪🇺🤝🙌👏👍🏻👌🏻✋🏼🤚🏼👉🏼👈🏼👇🏼👆🏼🙏🏻🙇♂🙆♀🙅♂🙋♀🤷♂🤦♀🧏♂🤙🏽🥳🥶🥵🥴🥺😭😊😍😘😘😘😘😘😘😍😊😭🥺🥴🤣😂🤣😂🤣😂🤣😂🤣😂🤣😂🤣😂🤣😂🤣😂🤣😂😊😍😘❤️💙💚💛🧡💜💕💞💕❤️❤️❤️❤️❤️❤️❤❤❤❤❤❤♥♦♣♠♥♦♣♠♥♦♣♠✨✨✨✨✨✨✨✨✨✨✓✓✓✓✓✓✓✓✓✓ - 保持程序及时更新， 不遗漏重要补丁；
- 限制输入参数来源，只允许可信IP或授权客户端访问敏感接口；
- 定期审计日志监控异常访问行为；
- 配置WAF规则阻挡典型Open Redirect攻击特征；
- 加强管理员账号权限管理及密码复杂度要求；
- 培养开发人员编写平安规范代码意识；
- 制作详细故障恢复方案并演练。
DedeCMS下载模块常见误区及陷阱解析
- "只要加个base64就能隐藏真实地址"——这是错误认知， 主要原因是base64编码仅是一种简单编码方式，无任何加密意义，对抗黑客毫无帮助;
- "升级慢=没必要"——忽视更新将导致持续暴露更多新旧漏洞，为短视行为;
- "把所有外链都放开方便分享"——极易产生滥用和欺诈风险;
- "只依赖服务器端设置禁止外部请求"——缺少多层防护机制无法完全抵御高级攻击;
- "监控工具没报告就是万无一失"——很多潜伏型攻击难以被简单检测手段捕获;
// 漏洞利用演示模拟结束。
// 注释掉凶险脚本， 以免误伤阅读体验
© 版权所有 Dedecms 平安研究团队 | 文章内容仅供参考，如需帮助请联系专业技术人员处理。
