公司网站是织梦模板建的，怎样防止被挂马？

不知道你的问题是不是已经得到了解决。我觉得我来回答很有发言权。因为我前段时间也出现了这样的现象。

你看看你的主页的源代码是不是如下这样的，网站标题、关键词、描述都发生了变化，多了如图所示的代码在网站里面。这个就是病毒代码，但是删除之后，过段时间有出现了这样的情况。那是因为删除只是一时的，并没有解决网站漏洞的根本原因。

其实出现这种现象是网站被“跨站脚本攻击（XSS）”了。具体的跨站脚本攻击（XSS）的意思你百度就知道了，有这个漏洞的百科词条。我用的也是dedecms网站，那么具体解决方法就是防范跨站脚本攻击（XSS）漏洞。只有修复了漏洞，才会不再生成这样的病毒sj代码出来。

1、跨站脚本攻击（XSS）的防范方法，X-Frame-Options头设置，具体方法篇幅比较大，参考百度经验《X-Frame-Options头未设置,如何设置？》

2、跨站脚本攻击（XSS）的防范方法，Cookie没有HttpOnly标志，需要设置HttpOnly，参考百度经验《Cookie没有HttpOnly标志咋办？IIS设置HttpOnly》

3、跨站脚本攻击（XSS）的防范方法，dedecms版本升级，dedecms是免费的开源网站，用的用户多，存在的漏洞也多，要不断的打补丁，升级版本。

把以上三点都做好了，你的网站就不会出现跳转到别人网站去的现象了，因为防范了“跨站脚本攻击（XSS）”，别人就不会攻击你的网站，在你网站里面加病毒代码了。我是一个热爱分享的网站站长，可以关注我，跟我一起进步。

之前一直使用dedeCms建站的，时间也算很长了，但是最近我们公司用dede做的网站被频繁被挂马，网上已经找不到解决方法，客户天天投诉，dedecms从原创团队解散后，几年了基本没有什么更新和维护，没有办法只能重新寻找新的cms改版。

由于客户逼得紧、领导要求更换新的cms程序，首先接触帝国cms，接触了帝国也就不到1个月的时间，下面都是我个人的观点，首先帝国的可扩展性性和功能确实比DEDE强，而且很多东西更加人性化，但是后台的操作界面体验很不好，显得非常老旧，后台功能组织也不如dede清晰明细，dede如果想要去使用的话在后台很快就能找到，而帝国可能找了半天才找到，有些东西分类不清楚，只有用的时间长了，才明白在哪里，但是帝国毕竟安全，模板存在数据库不易被偷，从可做网站的架构上讲，dede似乎只能做小网站，而帝国却可以完成中型网站的建设，也陆续用帝国改版了几个客户网站，后面使用慢慢发现一个问题，模板制作太难了，比dede的模板制作效率低太多。

本来想选择phpcms的，但是phpcms已经倒闭关站了，网上也报一堆漏洞没有人修补，所以还是不准备入坑。

不得已情况下，圈子里面的朋友推荐用pageadmin、老实说这个cms是net开发的，个人开始是非常抵触的，因为个人最开始用的dedecms是php开发的，所以对php的情有独钟，不过还是抱着试试的心态去安装了一个。

经过若干个困扰后，终于安装成功、登陆后台，非常漂亮，虽然第一次使用，但是仿佛每个界面我都非常熟悉和亲切，然后我尝试了一下功能，都很不错，这里不得不说pageadmin细节上体验会比其他cms好很多，后面经过差不多一周的时间研究了使用教程和模板制作教程，现在基本上算数熟能生巧了，功能和帝国一样都很灵活，模板制作比dedecms还要方便，支持局部页、公共页等概念，这些其他cms没有的。

总体来说，这几个cms系统各有优势，但是如果从安全上来说，不建议用dedecms和phpcms、尽量选择pageadmin或帝国，除非你有二次开发能力，真的可以修复好那些存在的漏洞，不过个人建议，dedecms和phpcms既然官方都不维护了，大家再入坑就是为以后找麻烦了。

用户名，密码复杂性，即使hack拿到密码也不容易逆转破解；后台目录务必重命名，越复杂最好；关注官方网站，跟相应的杀毒软件，定时修补补丁，定时查杀多余php文件；

后台设置，删除多余会员，关闭会员功能，系统基本参数-会员设置，互动设置等限制；

精简设置，不需要的功能都删掉，每个目录下加一个空的indexhtml,防止目录被访问；可删除的功能：member，special，install（必删），company（企业模块），plus\guesbook留言板等一般用不上的功能；

可以删除不必要但容易受攻击的文件（再文件夹下搜索即可）：file_manage_controlphp，file_manage_mainphp，file_manage_viewphp，media_addphp，media_editphp，media_mainphp,downloadphp(没有下载功能)，feedbackphp(评论功能)这些文件是后台文件管理器(这俩个功能最多余，也最影响安全，许多HACK都是通过它来挂马的。它简直就是小型挂马器，上传编辑木马忒方便了。一般用不上统统删除) 。

不需要SQL命令运行器的将dede/sys_sql_queryphp 文件删除。避免HACK利用。

不需要tag功能请将根目录下的tagphp删除。不需要顶客请将根目录下的diggphp与diggindexphp删除。

为了防止HACK利用发布文档，上传木马。请安装完成后阻止上传PHP代码。到此基本堵上了所有上传与编辑木马的可能性。(在50以上的版本本身已经作好修改了,这点经测试比较过的)

织梦权限设置，

1>include,plus,member等附加组件 可读取 不可写入 执行脚本（纯脚本）

data、templets、uploads,images 可读写 不可执行（执行权限无）

2>设置iis权限，去掉user权限，自己设置一个权限；目录设置、不允许执行脚本：

织梦关闭自定义表单前台预览，删除友情链接申请功能；网站提交登陆一定要有验证码，防止hack暴力破解，提交。

也可以使用第三方安全插件：如360网站卫士，DedeCms万能安全防护代码等也可以使用织梦自带的木马查杀攻击：系统—病毒扫描—开始扫描，删除织梦系统以为的php文件；

dedecms漏洞危害主要有：

1泄漏管理员密码和所有网站数据，用户辛苦搭建的网站被人窃取，或公司网站丢失商业数据。

2被黑客上传恶意程序，并用于攻击其他网站。该恶意程序将瞬间消耗完服务器带宽，无法提供正常服务。

为降低dedecms受漏洞影响被黑的可能，请进行以下操作：

1更改管理员密码，加强密码强度

2更改后台管理地址

3关注官方论坛，第一时间更新dedecms补丁

4使用腾讯电脑管家等安全软件对利用该漏洞的钓鱼盗号网站进行拦截。

DZ论坛程序被挂马 一般都是程序上的插件导致被getshell上传了木马后门 再一个问题就是网站程序里不止一个dz程序 应该还有其他的程序如dedecms Phpcms 好好检查下有无木马后门 再找下挂马的代码 一般都是加密的代码 直接删除掉即可 如果后期还被反复挂马的话 建议你有条件的话 找专业做网站安全的公司来处理。