Dedecms做为国内使用最为广泛使用人数最多的CMS之一，相信很多站长和我一样选择了它，它的优点我就不多说了。可是令很多站长头疼的是，用dedecms建的站经常被人莫名其妙的挂马，造成满页黑链、广告、弹框，令人气愤；更为可怕的是，还有可能被搜索引擎惩罚，辛辛苦苦建立的站，眼睁睁的看它权重下降，收录减少，甚至被K；更为严重的则服务器成为肉机，宝贵数据丢失。其实，对于dedecms挂马，我们完全可以防范于未然。今天，笔者就自己的体会从以下几点和广大dede爱好者们谈谈怎样防止dedecms被挂马，提高Dedecms的安全。

先来看看原因吧，为什么PHP程序经常出漏洞，其实是由PHP程序本身决定的。PHP可复用性低，导致程序结构错综复杂，到处是冗余代码，这样不仅利于漏洞的产生，还影响漏洞的修复；PHP程序入门简单且普遍开源，导致很多人都可直接阅读代码，搜寻漏洞；这样便有源源不断的漏洞被发现、被修复、被发现。而当前流行的PHP系统习惯用以文件形式做为缓存，这样就需要开放文件的写入权限，这无疑成为PHP系统的软肋。目前针对PHP系统的攻击方式，除了已经很少出现的“注入”攻击外，大部分攻击都是通过系统的某个漏洞，向可写文件里插入一句话木马，以此方式获得shell。

网站安全从来都是服务器配置、文件权限控制和网站程序三者的相互配合，“可执行的文件不允许被修改，可写文件不允许被访问”这是网站权限控制的根本原则，网站程序在“可写文件不允许被访问”方面可做许多工作。就拿Dedecms来说，我们可以在如下几个方面做好保护。

1、我们下载并安装了程序之后，首先就是要设置目录权限，这样即使木马突破服务器的限制，我们也让它找不到进一步破坏的地方。我们可以把data、templets、uploads设置为可读写，不可执行权限。把include、member、plus、后台管理目录设置为可读，可执行，不可写入权限（安装了附加模块的，book、ask、company、group 目录同样如此设置）。

2、改名根目录下的data目录，或者移动到网站目录外面。data目录便是最藏污纳垢的地方，系统经常要往这个目录写数据，这个目录下的任何一个文件都可以通过URL访问到，所以要让浏览器访问不到里面的文件，就需要将此目录改名，或者移动到网站的目录外面去。这样，即使别人通过漏洞往文件里写入了一句话木马，他也找不到此木马所在的文件路径，无法继续展开攻击。因为Dedecms程序的设置，所以改名data目录操作比较复杂，具体做法可以参考：如何将织梦的data目录迁移到根目录以外

3、程序越大、漏洞就越多，我们就需要精简网站，一些不常用的dedecms功能，我们的网站用不到的功能就可以删除。

比如 dedecms的member文件夹是会员系统，用不到可以删除；

special是专题，用不到可以删除；需要可以在生成HTML后，删除。

company是企业功能模块，用不到可以删除；

plusguest/book 是留言板，用不到可以删除；

install是安装程序，install在程序安装完后删除它。(强烈建议删除或者改名)

dede是网站后台管理目录，请把dede改名，越复杂越安全，但是自己一定要记住，最好不要用网站名称之类容易猜到的。后台地址隐藏好，即使别人获得了你的管理员账号、密码，也无法登录。

所有PHP开源程序安全设置都有相通之处，要学会举一反三。不妨学习一下其它开源系统的网站安全设置经验。

4、FTP密码复杂化，如果你的FTP密码很简单，就很容易被黑客猜中。因此尽量将FTP密码设置的复杂一些，最好字母+数字组合，10位以上，让那些破解程序破解去吧（我们空间默认的FTP密码就是复杂随机密码，更改密码之后一定要牢记密码）。

5、网上流传的经典防黑客注入方法（DEDE防注入两方法）

一是将每个目录添加空的index.html，防止目录被访问；

二是给做好网站301页面、403页面、404页面可以禁止访问某页或某文件。

6、多关注官方平台，登录网站后台看看系统主页有没有升级更新的补丁提示，及时更新和升级补丁。友情提示：升级程序之前别忘记了重要数据的备份，包括图片、模板等。

7、最后一点，数据备份。其实即使我们做到了最严格的防范，也不能完全防止被挂马，正所谓道高一尺魔高一丈！所以你的网站数据一定要经常备份。这样就算是网站被黑，也能通过重装程序还原数据，将损失降低到最低，毕竟数据是站长们最宝贵的财富。

本站部分内容来源互联网,如果有图片或者内容侵犯您的权益请联系我们删除！ dedecms安全

上一篇：SQL命令批量替换DedeCms文章标题关键字标签内容方法下一篇：DEDEcms5.7各个文件的作用与安全设置

相关文档推荐

17个防止dedeCMS织梦网站被黑挂马的小技巧 dede织梦cms系统的程序存在漏洞，黑客攻击方法层出不穷，导致网站经常被黑，被百度安全中心等拦截，影响排名和流量，让站长非常头疼，下面总结一些防止dede织梦cms系统被攻击设置的方法，可有效的防止织梦系统被挂马，仅供各位站长参考。 1.安装时数据库的前织梦dedecms如何更改plus文件夹名称 dedecms有很多漏洞都是出自plus文件夹下的文件，网上有很多挂马工具都有自动扫描网站PLUS目录功能用来匹配漏洞文件，因此为了避免被漏洞入侵，我们可以重命名PLUS文件夹，并将里面无用的文件都清理干净，DEDECMS重命名PLUS目录需要改动对应关系，方法如下打织梦DedeCMS select_soft_post.php任意文件上传漏洞解决办法最近很多建站朋友发现织梦DedeCMS安装在阿里云服务器后会在阿里云后台提示有一个dedecms任意文件上传漏洞，引起的文件是织梦安装目录下的/include/dialog/select_soft_post.php文件。原因是在获取完整文件名的时候没有将会对服务器造成危害的文件格式过滤掉 dedecms织梦 /member/reg_new.php SQL注入漏洞 1. 漏洞描述 Dedecms会员中心注入漏洞 2. 漏洞触发条件 http://127.0.0.1/dedecms5.7/member/reg_new.php?dopost=regbaseamp;step=1amp;mtype=%B8%F6%C8%CBamp;mtype=%B8%F6%C8%CBamp;userid=123asd123amp;uname=12asd13123amp;userpwd=123123amp;userpwdok= 织梦dedecms百度快照劫持注入代码防范织梦百度快照劫持注入代码防范及修正，很多站长做站的过程中，都碰过百度快照被劫持等问题，明明已经修复模板文件了，还是没有更新回正常的快照，以织梦系统为例，往往根目录/index.php也被植入恶意代码比如： ?phpif(strpos($_SERVER[HTTP_USER_AGENT],sp 织梦dedecms几条重要的安全设置 dedecms的安全问题一直是被广大站长用户诟病的，博客吧也感同身受，稍微不注意安全就很容易被黑，篡改网页、挂黑链等问题一个接着一个，因此对dedecms进行有效的安全设置修改显得极其重要，下面是博客吧在织梦CMS帮助中心摘自的几条dedecms安全设置建议。数栏目导航织梦安装使用织梦二次开发织梦优化织梦标签 dedecms教程织梦安全最新文章

特别推荐阅读

Dedecms如何做好安全防范挂马

相关文档推荐

联系我们

Dedecms如何做好安全防范挂马

相关文档推荐

相关文章

联系我们