★日照SEO★
我们一直在努力中

织梦程序安全设置_如何提高dedecms的安全性,防止被黑

摘要:        织梦系统确实是一款对于公司网站非常好用的cms。但他的安全性也是站长心中的一大疑虑。虽然我一直很想放弃织梦,但是每当建站的时候找来找去都是织梦的模板。无奈也只能用他了,至于他的安全性,也希望有一……

       织梦系统确实是一款对于公司网站非常好用的cms。但他的安全性也是站长心中的一大疑虑。虽然我一直很想放弃织梦,但是每当建站的时候找来找去都是织梦的模板。无奈也只能用他了,至于他的安全性,也希望有一些方式能够改善。于是我网上找到了一些改善措施

织梦cms

方法

  1. 在dedecms的后台更新补丁,尽可能升级为最新版本。
  2. data、templets、uploads、install这几个目录用控制面板的“目录保护”功能 禁止执行权限。
  3. 如果只是使用文章系统并没有使用会员功能,则强推推荐:关闭会员功能、关闭新会员注册、直接删除member目录或改名。
  4. 用dedecms后台的“系统”中的文件校验和病毒扫描功能 查杀病毒木马。
  5. 检查有无/data/cache/t.php 、/data/cache/x.php和/plus/index.php 这些木马文件,有的话则应立即删除。
  6. 用虚拟主机控制面板中的“查杀病毒 ”功能全面查杀一次。
  7. 后台登录管理不要用admin为用户名 可以改成其他的。
  8. data/common.inc.php文件属性(Linux/Unix)设置为644或(Windows NT)设置为只读。
  9. 针对uploads、data、templets 三个目录做执行php脚本限制。

虚拟主机/空间配置目录执行php脚本限制方法:Apache环境和nginx环境的两种设置方法

对uploads、data、templets 三个目录做执行php脚本限制,就算被上传了木马文件到这些文件夹,也是无法运行的所以这一步很重要一定要设置。

在配置前需要确认你的空间是否支持.htaccess和rewrite,该方法基于.htaccess文件中使用rewrite来达到禁止指定脚本的运行效果。

Apache环境规则内容如下:Apache执行php脚本限制 把这些规则添加到.htaccess文件中

  1. RewriteEngine on
  2. RewriteCond % !^$
  3. RewriteRule uploads/(.*).(php)$ – [F]
  4. RewriteRule data/(.*).(php)$ – [F]
  5. RewriteRule templets/(.*).(php)$ –[F]

nginx环境规则内容如下:nginx执行php脚本限制

LNMP有一个缺点就是目录权限设置上不如Apache,有时候网站程序存在上传漏洞或类似pathinfo的漏洞从而导致被上传了php木马,而给网站和服务器带来比较大危险。建议将网站目录的PHP权限去掉,当访问上传目录下的php文件时就会返回403错误。

首先要编辑nginx的虚拟主机配置,在fastcgi的location语句的前面按下面的内容添加:

  1. location ~ /(data|uploads|templets)/.*\.(php|php5)?$ {
  2. deny all;
  3. }

想想这个安全问题,真的很重要。今天整理一下有关织梦模板建站中,安全设置的问题。 按照网站的 安装–模板制作—上线,这么一个时间线来阐述。 

一、数据库前缀

安装时可以自定义数据库的表名前缀,默认是dede_,这个可以自定义,只是后续要二次开发的话,会涉及更改的环节较多,具体就看自己的实际情况。 

二、后台登录账号密码

安装的时候需要设置后台账号密码,这个账号密码一定要自定义。 

三、data目录(必须处理,70%的安全问题由此引起)

data目录是系统缓存和配置文件的目录,一般都有可以读写的权限,只要是能够写入的目录都可能存在安全隐患。我们可以将其改名,或者最好是移到Web运行目录以外。

1 先说修改目录名。
1)、修改include目录下的common.inc.php这个文件。打开文件,找到第16行:
define(‘DEDEDATA’, DEDEROOT.’/data’);
把data修改成为您要改的目录名,如:改为asdfg,那么则改为:
define(‘DEDEDATA’, DEDEROOT.’/asdfg’);
2)、用FTP把data目录改名asdfg,也就是跟第一步改的文件名一样。
3)、在网站后台,系统-系统基本参数-性能选项,“模板缓存目录:”改为:/asdfg/tplcache。
这样就基本改完成了,不过现在还有些问题。打开网站目录你会发现,自己跳到安装文件了。不用急,修改一下网站根目录的index.php这个文件,把文件最前面的几行注释掉,注释如下,也就是在代码前面加//:
//if(!file_exists(dirname(__FILE__).’/data/common.inc.php’)) //{ //    header(‘Location:install/index.php’); //    exit(); //}
这样,你的网站就可以正常打开了。在后台更新的时候,还是有问题,网站地图跟RSS、JS这几项更新有问题,那么我们只需要在网站根目录下新建个data目录,然后data目录下再分别新建rss和js两个目录,这样就可以了,再更新一下看看,是不是都正常了呢?
注:上面提到的更改目录为asdfg,其中asdfg可以自由更换成你想要的目录名称。

2 再说移动date目录 。
1)一般虚拟主机,会有一个网站执行目录(这里简称web目录),例如web;www;wwwroot等,这里说的的移动date目录,就是将date完全剪切到web目录以外,一般就是让date和web在同一目录中,是平级的。 
2)找到系统目录下/include/common.inc.php文件,修改DEDEDATA常量为你的系统目录。
3)配置tplcache缓存文件目录,进入系统后台,在配置中修改tplcache目录为你想对目录。
这样我们就将data目录顺利迁移出去了。
注意:本操作目前仅在V57系统中测试有效,其他版本系统可能需要进行调整。

赞(0) 打赏
转载请注明来源:日照天空网络公司 » 织梦程序安全设置_如何提高dedecms的安全性,防止被黑