织梦cms安装设置,dedecms如何防止被黑,织梦cms的安全设置

网上有很多CMS开源程序，发现很多朋友或做医院的都用到DEDECMS，之前我也使用过，不过后来被挂过几次马，就觉得DEDE也不什么好，不过做垃圾站的话，排名效果还是不错的，至少对百度的收录和排名都比较友好。任何一款开源程序都存在或多或少的漏洞，只是没被别人发现而已。自己不能开发这么强大的系统，只能拿现成的来改了。很多所谓的“黑客”都是用工具来扫描入侵，厉害点的人是不屑来黑我们的小网站的，所以我们一般做好安全防护就可以了。以下是我收集整理的内容:

一，常规设置

1，安装程序后删除install文件夹，并且一定修改dede这个文件夹名称，也就是修改你的后台路径！
2，后台管理员不要使用admin或者其他一类很容易被猜到的账号！
3，使用最新版的dede cms建站，关注dedecms官方发布的安全补丁，及时打上补丁。
4，删除dede程序多余的目录：

①member会员功能
②special专题功能
③company企业模块
④plus\guestbook留言板
⑤install（安装后删除）
⑥a

以下是可以删除的文件：

Ⅰ，管理目录下的这些文件是后台文件管理器，属于多余功能，而且最影响安全

file_manage_control.php
file_manage_main.php
file_manage_view.php
media_add.php
media_edit.php
media_main.php

Ⅱ，不需要SQL命令运行器的 将dede/sys_sql_query.php 文件删除。

Ⅲ，不需要tag功能 请将根目录下的tag.php删除。不需要顶客请将根目录下的digg.php与diggindex.php删除。

Ⅳ，Plus目录下只保留：mytag_js.php ad_js.php（广告显示）、count.php（文章访问次数统计）、search.php（文章搜索）、feedback.php feedback_ajax.php feedback_js.php（评论用）、list.php（频道动态页），而plus目录中的其他php文件全部删除！
 

二，将data这个文件夹移动到程序上一层目录

1，举例，以“dedecms/web”为我们系统的根目录,我们需要将web目录下的data文件夹(如图1-4)迁移要上一级目录(dedecms目录中或者dedecms目录中的一个文件夹)，简单的办法直接剪切或者拷贝即可，虚拟主机的用户可以通过Ftp软件的右键移动功能，我们这里以移动到dedecms下的db这个文件夹为例。（温馨提示：很多虚拟主机不支持移动，大家可以先咨询下空间商）









2，找到系统目录下/include/common.inc.php文件，修改DEDEDATA常量为你的系统目录。



3，进入系统后台，在系统配置中修改模板缓存目录tplcache目录为你相对的目录，比如/../db/data/tplcache
修改网站的首页文件index.php中的/data/common.inc.php也为相对的目录，比如/../db/data/common.inc.php

三，DedeCms官网出的万能安全防护代码

为了让大家的CMS更安全，有需要的手工在config_base.php里加上

打开
config_base.php 
找到

//禁止用户提交某些特殊变量
$ckvs = Array('_GET','_POST','_COOKIE','_FILES');
foreach($ckvs as $ckv){
  if(is_array($$ckv)){ 
    foreach($$ckv AS $key => $value) 
      if(eregi("^(cfg_|globals)",$key)) unset(${$ckv}[$key]);
  }
}

改为下面代码

//把get、post、cookie里的<? 替换成 <?
$ckvs = Array('_GET','_POST','_COOKIE');
foreach($ckvs as $ckv){
  if(is_array($$ckv)){ 
    foreach($$ckv AS $key => $value) 
      if(!empty($value)){
        ${$ckv}[$key] = str_replace('<'.'?','&'.'lt;'.'?',$value);
        ${$ckv}[$key] = str_replace('?'.'>','?'.'&'.'gt;',${$ckv}[$key]);
      }
      if(eregi("^cfg_|globals",$key)) unset(${$ckv}[$key]);
  }
}
//检测上传的文件中是否有PHP代码，有直接退出处理
if (is_array($_FILES)) {
foreach($_FILES AS $name => $value){
  ${$name} = $value['tmp_name'];
  $fp = @fopen(${$name},'r');
  $fstr = @fread($fp,filesize(${$name}));
  @fclose($fp);
  if($fstr!='' && ereg("<\?",$fstr)){
      echo "你上传的文件中含有危险内容，程序终止处理！";
      exit();
  }
}
}

四，权限设置 

1，如果有服务器或者VPS权限，将data、templets、uploads、a或html目录， 设置可读写，不可执行的权限

2，include、member、plus、后台管理目录 设置为可执行脚本，可读，但不可写入（安装了附加模块的，book、ask、company、group 目录同样如此设置）。

3，虚拟主机，可以通过空间控制面板或者FTP工具来设置权限！

文章来源：依旧织梦网 http://www.19dede.com/dedesafe/2016/0807/34.html

标签：dedecms  织梦  织梦安全