DedeCMS广告内容插入后门防范方法

DedeCMS 的广告管理功能存在一个常见的安全隐患：广告内容未经过任何过滤限制，攻击者可以直接在广告中插入恶意脚本信息，并将其写入文件，最终导致木马植入。该补丁正是为了防止广告内容中混入 PHP 脚本并写入文件而设计的。

关键的修复代码分布在两个核心文件中：ad_js.php 和 mytag_js.php。其核心逻辑是在写入前检查广告内容是否包含 PHP 相关字符，一旦发现就直接拦截并终止执行。

先来看 ad_js.php 中的代码：

复制代码

//禁止写入和PHP脚本有关字符信息

//==========================================================================

if ((strripos($adbody,"=0)||(strripos($adbody,"{dede:php}")>=0)||(strripos($adbody,"php")>=0))

{die("document.write('禁止生成广告,可能存在风险!');");}

//==========================================================================

接着是 mytag_js.php 中的代码：

复制代码

代码如下:

//禁止写入和PHP脚本有关字符信息

//==========================================================================

if ((strripos($myvalues,"=0)||(strripos($myvalues,"php")>=0))

{die("document.write('禁止生成广告,可能存在风险!');");}

//==========================================================================

补丁的使用方法非常简单：将 ad_js.php 和 mytag_js.php 这两个文件解压到 plug 目录中，直接覆盖原文件即可。建议覆盖完成后，使用 D盾_Web查杀 工具进行一次全盘扫描，彻底清理之前可能残留的后门。扫描时请务必选择“查杀全部文件”，因为这些后门常以 .htm 或 .inc 等扩展名隐藏起来。

打包下载：dedecms_stop_php_ad.rar