本帖子原来是Mesopotamia的投稿文章，被xundi转入论坛。
动网论坛是网络上被广泛使用的一款社区系统，它占领了中国社区系统的大半个江山。正所谓“树大招风”，在几个论坛版本相继被黑客功陷之后.
现在，它的安全性有很大的提高。但是各位站长现在依旧不可忽视其会有继续被功陷的漏洞产生。详情看下文：
这几天，在网上看到了不少有关利用动网插件所产生的脚本漏洞致使其被攻破甚至利用此提升权限权限获取服务器控制权的事情发生。大的有动网的下载中心上传文件过滤不严、入侵动网宝贝工作室修改版这两个。
第一个和动网的UPFILE.ASP文件上传漏洞产生的原因是一样的，这里就不多说了，有兴趣的朋友请翻看相关的资料阅读。
第二个则是由于管理员安装论坛时的疏忽造成的，许多的动网修改版在其目录下都保存有一个可以修改管理员帐号密码的ASP文件，大部分都是用动网的管理员所写的然后改个文字或者面板而变成自己的。这个文件十分的危险。我搜索了一下，用这个文件的论坛不在少数，也就是说，大部分的主机都可轻易的被黑客攻破。
解决方法：
第一个上传漏洞有三种方法可以解决：
（1）可以将其更换成别的较为少用的下载系统，下载回来后必须要查看各个文件是否都做了参数的过滤和检查一些时常发生的安全问题。
（2）将down_upfile.asp删除或者为其添加更严格的过滤设置。
（3）将服务器IIS目录的权限设置好，不要让ASP文件有执行权限。
第二个漏洞只有一个办法，就是将密匙文件删除或者转移，千万别留在IIS目录内。因为这个文件可以被当作一个超级的动网ASP后门使用（具体的我不往下说了，免得有更多的论坛遭小黑的毒手[redface]）。
总而言之就一句话：“系统安全是整体，只有牢牢的将每一个小小的细节都处理好了才能减少被”害”的危险。