如何打造最安全的dedeCMS（請(qǐng)參考使用）;很多站長(zhǎng)都是用DEDE系統(tǒng)來(lái)建站，但是dede漏洞很多，網(wǎng)站經(jīng)常被其他人掛馬，怎么樣防止被掛馬呢？要做好DEDECMS安全工作，小編建議須做到以下十個(gè)步驟：

1、保持DEDE更新，及時(shí)打補(bǔ)丁。

2、裝好DEDE后及時(shí)把install文件夾刪除

3、管理目錄改名，后臺(tái)登錄開(kāi)啟驗(yàn)證碼功能，將默認(rèn)管理員admin刪除，改成一個(gè)自己專用的，復(fù)雜點(diǎn)的賬號(hào)。最好是改成MD5形式的，最好長(zhǎng)點(diǎn)，我一般改成20位大小子字母數(shù)字。

4、DedeCms 萬(wàn)能安全防護(hù)代碼 http://moonseo.cn/plus/view.php?aid=87

5、如果是使用HTML可以把plus下的相應(yīng)文件和根目錄下的index.php做掉（用不到的全刪掉，還可以把數(shù)據(jù)庫(kù)里面不用的表刪除掉）

6、不需要SQL命令運(yùn)行器的將dede/sys_sql_query.php文件刪除。不需要tag功能請(qǐng)將根目錄下的tag.php刪除。不需要頂客請(qǐng)將根目錄下的digg.php與diggindex.php刪除。

7、不用留言本的可以把plus下的guestbook做掉，不用會(huì)員的可以把member做掉，不用專題的可以把special做掉，company企業(yè)模塊用不到的也可以干掉

8、后臺(tái)的文件管理（管理目錄下file_manage_xxx.php），不用的可以做掉，這個(gè)不是很安全，至少進(jìn)了后臺(tái)上傳小馬很方便

如：file_manage_control.php file_manage_main.php file_manage_view.phpmedia_add.php media_edit.php media_main.php

9、下載發(fā)布功能（管理目錄下soft__xxx_xxx.php），不用的話可以做掉，這個(gè)也比較容易上傳小馬的

10、其它需注意問(wèn)題：不要對(duì)網(wǎng)站直接使用MySQL root用戶的權(quán)限，給每個(gè)網(wǎng)站設(shè)置獨(dú)立的MySQL用戶帳號(hào)，許可權(quán)限為：

SELECT, INSERT , UPDATE , DELETE，CREATE , DROP , INDEX , ALTER , CREATETEMPORARY TABLES

由于Dede并沒(méi)有任何地方使用存儲(chǔ)過(guò)程，因此務(wù)必禁用 FILE、EXECUTE 等執(zhí)行存儲(chǔ)過(guò)程或文件操作的權(quán)限

最安全地方式：本地發(fā)布html，然后上傳到空間。不包含任何動(dòng)態(tài)內(nèi)容，理論上最安全。不過(guò)維護(hù)相對(duì)來(lái)說(shuō)比較麻煩。還是得經(jīng)常檢查自己的網(wǎng)站，被掛黑鏈?zhǔn)切∈?，被掛木馬或刪程序就很慘了，運(yùn)氣不好的話，排名也會(huì)跟著掉。所以還得記得時(shí)常備份數(shù)據(jù)。

大多數(shù)被上傳的腳本集中在plus、data、data/cache三個(gè)目錄下，請(qǐng)仔細(xì)檢查三個(gè)目錄下最近是否有被上傳文件。

一、通過(guò)掛馬前的安全措失來(lái)打造最安全的dedeCMS

A、改更默認(rèn)管理目錄dede。

B、檢查install目錄里是否存在install.lock文件。有用戶沒(méi)給install目錄寫(xiě)權(quán)限導(dǎo)致安裝的時(shí)候沒(méi)有生成lock文件。安裝完成后可整個(gè)刪除intstall目錄。

C、關(guān)注后臺(tái)更新通知，檢查是否打上最新dedeCMS補(bǔ)丁

D、服務(wù)器web目錄權(quán)限設(shè)置

有條件的用戶把DedeCms中data、templets、uploads、html、special、images、install目錄設(shè)置為不允許執(zhí)行腳本，其它目錄禁止寫(xiě)入，系統(tǒng)將更安全。再次強(qiáng)調(diào)下不需要專題的，建議刪除special 目錄， 如需要可以在生成HTML后，刪除 special/index.php然后把這目錄設(shè)置為可讀寫(xiě)，不可執(zhí)行的權(quán)限；include、member、plus、后臺(tái)管理目錄設(shè)置為可執(zhí)行腳本，可讀，但不可寫(xiě)入（安裝了附加模塊的，book、ask、company、group目錄同樣如此設(shè)置）

E、建議到官方下載程序

F、服務(wù)器安全措施(以windows2003系統(tǒng)為例)

1、更新系統(tǒng)補(bǔ)丁到最新的，并打開(kāi)自動(dòng)更新

2、安裝殺毒軟件，更新病毒庫(kù)到最新，并打開(kāi)自動(dòng)更新

3、打開(kāi)系統(tǒng)自帶的防火墻，開(kāi)放應(yīng)用中的端口，以過(guò)濾不必要的端口訪問(wèn)

4、打開(kāi)tcp/ip安全策略，開(kāi)放應(yīng)用中的端口，以過(guò)濾不必要的端口訪問(wèn)

5、打開(kāi)用戶與用戶組管理，添加IUSR用戶對(duì)應(yīng)不同WEB站點(diǎn)，以便分權(quán)限管理減少因一站點(diǎn)被黑帶來(lái)的權(quán)限危機(jī)

6、針對(duì)不同的WEB目錄設(shè)置不同的權(quán)限

例：WebSiteA目錄對(duì)應(yīng)權(quán)限一般為system/administrators完全權(quán)限 IUSR_websiteA只讀權(quán)限

WebsiteA下面的子目錄根據(jù)DedeCMS程序的需求分配IUSR_websiteA的寫(xiě)入運(yùn)行權(quán)限，詳見(jiàn)上面b點(diǎn)目錄權(quán)限說(shuō)明

7、不要在服務(wù)器上安裝不明來(lái)路的軟件

8、不要在服務(wù)器上安裝什么破解版漢化版軟件，如果實(shí)在需要建議用原版

9、建議不要安裝ServU FTP軟件，換用其它的FTP軟件，更改FTP端口，用戶密碼不要太簡(jiǎn)單

10、如果不需要請(qǐng)盡量關(guān)閉服務(wù)應(yīng)用的遠(yuǎn)程訪問(wèn)功能，如mysql user的遠(yuǎn)程訪問(wèn)

11、針對(duì)上面一點(diǎn)，可以運(yùn)用本地安全策略功能，設(shè)置允許訪問(wèn)IP。

12、運(yùn)用本地安全策略，還可以有效拒絕CC攻擊，過(guò)濾來(lái)源IP的訪問(wèn)。

13、服務(wù)器上各項(xiàng)服務(wù)應(yīng)用注意及時(shí)更新補(bǔ)丁，如mssql切記打補(bǔ)丁，而且要使用正版的，沒(méi)條件的也要使用正規(guī)的復(fù)制版本

14、服務(wù)器上的各項(xiàng)應(yīng)用如IIS配置mysql配置，請(qǐng)搜索百度谷歌這方面的安全應(yīng)用的專題，加強(qiáng)內(nèi)功是很重要的。

15、開(kāi)啟IIS的訪問(wèn)日志記錄

二、掛馬后的安全檢查

必要時(shí)關(guān)閉網(wǎng)站進(jìn)入一步步排查打造最安全的dedeCMS

A、進(jìn)DedeCMS管理后臺(tái)檢查是否有新補(bǔ)丁或安全提醒沒(méi)有及時(shí)更新。

B、檢查源文件中是否有相應(yīng)木馬病毒代碼，以確認(rèn)是否為ARP攻擊

1、ARP攻擊表現(xiàn)：程序文件毫無(wú)異動(dòng)，攻擊是采用欺騙目標(biāo)網(wǎng)關(guān)以達(dá)到欺騙用戶端的效果，實(shí)現(xiàn)用戶端訪問(wèn)網(wǎng)站加載木馬的目的。

2、ARP攻擊防范：對(duì)服務(wù)器加裝防ARP攻擊類的軟件及其它應(yīng)對(duì)措施，或聯(lián)系您的IDC服務(wù)商。

C、檢查目錄權(quán)限，詳見(jiàn)第一大點(diǎn)里的安全措施。

D、檢查FTP里的每一個(gè)目錄，查找最近被修改過(guò)的可疑文件。

1、用記事本等類工具打開(kāi)查找，如果是真被掛馬，這里分析下都能找到。

2、如果是整站被掛，請(qǐng)著重先檢查下整站調(diào)用的js文件。

3、從文件中找出被掛的代碼，復(fù)制代碼的關(guān)鍵語(yǔ)句部分，打開(kāi)替換類軟件批量替或批量找吧。

4、上面一步需要有服務(wù)器控制權(quán)限，沒(méi)有的話只能下載回來(lái)批了。(這是謹(jǐn)慎的辦法，如果你有把握那可以只檢查部分文件或目錄)

E、上面還是解決不了，那得分析IISLOG日志，追根朔源查找入侵點(diǎn)。你可以下載IISlog分析類軟件研究。

三、如何向dedeCMS官方求助或報(bào)告安全問(wèn)題？

1、查看木馬、可疑文件的修改時(shí)間

2、查看站點(diǎn)系統(tǒng)日志，對(duì)照第1點(diǎn)所獲得的時(shí)間，找出掛馬的方式。

只有打造好最安全的dedeCMS，對(duì)于站長(zhǎng)來(lái)說(shuō)在以后的使用dedeCMS中才能真正做到的一勞永逸！

文章題目：聽(tīng)創(chuàng)新互聯(lián)分享如何打造最安全的dedeCMS
網(wǎng)頁(yè)URL：http://jinyejixie.com/news19/25319.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站建設(shè)、域名注冊(cè)、App設(shè)計(jì)、企業(yè)建站、手機(jī)網(wǎng)站建設(shè)、網(wǎng)頁(yè)設(shè)計(jì)公司

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)