采用织梦搭建的网站怎么防挂马？-DEDECMS

先来看看缘由吧，为何PHP顺序常常露马脚，实际上是由PHP顺序自身决议的。

PHP可复用性低，招致顺序构造盘根错节，四处是冗余代码，这样不只利于破绽的孕育发生，还影响破绽的修患上；

PHP顺序入门简略且普遍开源，招致不少人均可间接浏览代码，搜索破绽；这样便有源源一直的破绽被发现、被修复、被发现……。

而以后盛行的PHP零碎习气用以文件方式做为缓存，这样就需求开放文件的写权限，这无疑成为PHP零碎的软肋。

今朝针对PHP零碎的攻打形式，除了了曾经很少呈现的“注入”攻打外，年夜局部攻打都是经过零碎的某个破绽，向可写文件里拔出一句话木马，以此形式取得shell。

网站平安素来都是效劳器设置装备摆设、文件权限管制以及网站顺序三者的互相合营，明天次要看看假如对DedeCms网站顺序的改良来进步平安性。“可执行的文件没有容许被修正，可写文件没有容许被拜访”这是网站权限管制的基本准则，网站顺序正在“可写文件没有容许被拜访”方面可做许多工作。

就拿DedeCMS来讲，咱们能够正在以下几个形式做好维护。

一、更名根目次下的data目次，或许挪动到网站目次里面

data目次即是最藏污纳垢之处，零碎常常要往这个目次写数据，这个目次下的任何一个文件均可以经过URL拜访到，以是要让阅读器拜访没有到外面的文件，就需求将此目次更名，或许挪动到网站的目次里面去。这些，即便他人经过破绽往文件里写进了一句话木马，他也找没有到此木马所正在的文件门路，无奈持续开展攻打。由于DedeCMS顺序的没有正当，招致更名data目次举措会比拟年夜，详细做法以下：

a. 将地下的内容迁徙到pub目次（或许其它自界说目次）下，如rss、sitemap、js、enum等，此步骤需求挪动文件夹，并修正这些文件的天生门路

b. 修正援用顺序目次

搜寻交换“DEDEDATA.“/data/” 为 “DEDEDATA.”/”，大略交换五六十个中央；
搜寻交换“DEDEDATA.‘/data/” 为 “DEDEDATA.’/”，大略交换五六十个中央；
搜寻“/data/”，按详细状况，修正门路相似成为：“$DEDEDATA.“/”（留意include目次以及后盾治理目次都有data文件夹，没有需求修正）；

c. 修正data文件夹称号，并修正include/co妹妹on.inc.php文件里的“DEDEDATA”的值，再正在后盾零碎设置》参数设置里修正模板缓存目次，便可修正实现。当前也能够依照此步骤来更改data文件夹称号。

二、更名“dede”治理目次，并加固

假如把后盾暗藏好了，即便他人取得了你的治理员账号、明码，他也无从登录。

正在/dede/config.php里，找到以下行：

如下为援用的内容：

//测验用户登录状态 
 $cuserLogin = new userLogin(); 
if($cuserLogin->getUserID()==-1) 
{ 
     header("location:login.php?gotopage=".urlencode($dedeNowurl)); 
}