如何防止黑客利用新的DeDeCMS漏洞入侵

网站框架优化，是为了让网站更容易表达正确的内容，透过网站架构调整，能够让用户方便的浏览所有的站内信息，同时能够有效引导用户进行深入点击。

框架优化，主要从用户角度出发，透过扁平化的阶层，让用户翻阅任意内容都可以在三层内寻找到答案。

网站框架优化主要分为两种：

1、物理架构

2、逻辑架构

符合企业站点的网站框架如下：

透过首页就可达到网站任何一个顶级栏目、二级目录、最终内容页。

任何一个页面都可以返回首页、上一层级或 任何一个顶级栏目。

网站架构优化，通常会将网站架构形成树状结构，而为了让用户方便浏览以利用户体验，这个树状结构的层级不超过3层。另一方面，对于搜索引擎爬虫来说，若架构太深太多层，会不利搜索引擎抓取，因此层级保持在3阶是普遍认为最佳的方式。

学好框架优化划重点：

5种常见的SEO框架优化手法。

(1)建立网站地图

网站地图(Sitemap)能够提交到百度管理工具，让搜索引擎能够有效的直接从Sitemap进行整个网站的抓取，快速且有效。

（2）网站层级不超过3层

网站层级过深，会造成用户想要进入到最终文章或产品页面时花费太长的时间，这样会导致用户难以找到想要的文章，或是找到一半就离开网站了，如此不但会增加网站跳出率，同时也会减少网站页面停留时间，甚至造成用户体验大幅下降等问题。

（3）网站导航采用文字链接

网站导航(Menu)尽量采用文字链接，文字链接除了是搜索引擎最容易识别的方式之外，也是一般用户最常见最熟悉的链接方式，因此善用文字链接导向各阶层页面是最佳选择。

（4）导航链接文字要符合内容

网站导航链接(Menu Link)一定要使链接文字与内容呈现一致性，若导航链接为”SEO教学“，那么链接至的下一层页面内容一定要是与“SEO教学”有高度相关性的内容。

（5）多增加内部链接

在每一个页面上增加内部链接能有效引导搜索引擎爬虫对整个网站的抓取，同时也能带动用户在观看页面内容时能链接到其他相关页面。(但切勿盲目将所有链接放置在所有页面上，不需要有意义的文字或段落链接至其他相关页面。)

（6）网站架构优化方法

正常来说，文件的摆放也有学问。根据不同的内容与类型需要放置在不同的资料夹当中，同时目录名称也需要明确定义。举例来说：Image档案、Javascript档案、CSS档案…等，都需要放置在专属的资料夹当中与其他内容区隔开来。

目录的名称仍建议使用有意义的英文来命名，目录的长度也应该越短越好，目录的架构也不要太深。

这个很烦人的，主要是后台程序造成的。如果后台不常用。那就把后台那个文件夹删了，用到的时候再加上去，不用的时候删除。我被折磨了一个多星期。搜到的方法都用了。还是天天被改。才想到这个。现在这几天好了。

开学了，返校了，又在宿舍上网了，但现在的校园网安全吗暑假中，DeDeCMS系统曝出了严重的漏洞，这个系统在很多学校的校园网中存在，黑客利用该漏洞就可以控制校园网，进行挂马、嵌入病毒……不过校园网中不乏电脑高手，下面我们就来看看“红帽”同学对自己学校网站的开学安全检测。

我的网名叫“红帽”，我猜每一个大学校园里，都有像我这样的一号人，我们对电脑充分的了解，面对互联网海洋时，就如同游泳池中的菲尔普斯一样。无论你需要找到什么东西，只要它存在于互联网之中，或者在互联网中生活过一段时间，我都能够帮助你找到源头，或者帮你把你感兴趣的东西弄到手。你猜对了，我就是黑客，活跃在校园里面的黑客。

我自认为算是高手，帮同学从别的黑客手里**回被窃的账号，在网吧让一个讨厌鬼不停的更换电脑，也曾经尝试着入侵NASA的计算机网络。

这段日子正是开学的日子，我准备对我的学校网站进行了一次安全检测。或许你要问，为什么要对自己学校的网站进行安全检测我们学校用了DeDeCMS系统(中文名称是织梦内容管理系统)，这个系统在很多学校中被使用。

博弈主题：攻击DeDeCMS整站系统

技术难度：★★★★

重点知识：如何用新的DeDeCMS漏洞来入侵

DeDeCMS系统被很多学校使用并不能让我产生检测自己学校的网站的念头，真正让我产生这个念头的原因是这个系统最近曝出了严重的漏洞，不知道网管补上该漏洞没有，如果没有补上，大家回校后上校园网就危险了。

DeDeCMS身藏URL编码漏洞

这次DeDeCMS新出的漏洞是一个URL编解码漏洞，导致漏洞出现的原因是DeDeCMS的设计者在joblistphp、guestbook_adminphp等文件中对orderby参数未做过滤。黑客可以利用这些漏洞查询数据库的敏感信息，例如管理员密码、加密key等，一旦这些敏感资料被黑客掌握，要在校园网内挂马就是轻而易举的事情了，真危险。

小知识：编码是将源对象内容按照一种标准转换为一种标准格式内容。解码是和编码对应的，它使用和编码相同的标准将编码内容还原为最初的对象内容。编解码的目的最初是为了加密信息，经过加密的内容不知道编码标准的人很难识别。

实战入侵

既然知道了漏洞的成因，下面就来亲手检测一下。目前有两种方案可以实现DeDeCMS整站系统的入侵，一种是PHP脚本的入侵方案，采用这种方案，需要先在自己的本机调试好PHP解析环境，然后登录入侵的目标网站，在PHP环境中运行漏洞测试代码。不过这种方案实行起来相对复杂，因此我使用第二种进行检测，通过漏洞检测注入程序直接注入。

首先，登录学校的网站。然后打开《DeDeCMS漏洞注入检测程序》，点击“Target

Infomation”标签选项，在“URL”一项后面将寻找到的有DeDeCMS系统漏洞的网址复制粘贴到地址输入框，这里利用DeDeCMS的网站路径地址“/include/htmledit/indexphp”得到网站的物理路径。

在登录系统之后，复制浏览器地址栏中的网站路径，例如[url=http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren]http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren[/url]，然后复制粘贴提交测试，粘贴完成后点击“Check”按钮，测试网站是否符合条件

这个问题不难!你是想点进不同的栏目列表页，调用不同的头部是吧，要是这样的话没必要这么做，织梦他会自己识别就像频道页的调用不写id一样，点进不同的栏目他就会显示不同的内容，你的头部导航也可以用标签调用，不写具体id就好，要是因为有需要变换，那就更简单了，同样的不写id，从文章里调用就好，他会自己变。

CMS（Content Management System）内容管理系统。不需要学习复杂的建站技术，HTML语言，就能够在cms上构建小型或者大型的专业网站，门户网站。算是一个平台。可以处理、Flash动画、声像流、图像甚至电子邮件档案。

分为PHP、NET、JSP三种。现在用的最多的是PHP类 织梦内容管理系统(DedeCms)

HTML（HyperText Mark-up Language）超文本标记语言 / 超文本链接标示语言。

构成网页文档的主要语言。由HTML命令组成的描述性文本，能说明文字、图形、动画、声音、表格、链接等。结构包括头部（Head）、主体（Body），头部描述浏览器需要的信息，主体描述网页要表达的内容。

CSS（Cascading Style Sheet）级联样式表。

基于文本的语言，用来设计网页风格，表现HTML或 XML 文件样式。

能使网页与内容分离，对网页中的对象的位置排版进行像素单位的精确控制，支持几乎所有的字体字号样式，能初步交互设计。

有三种方法可以在站点页面上使用样式表：

链接样式表。

嵌入样式表。

内嵌式。

三种都是各有利弊。在用链接式的时候，同时使用嵌入式或者内嵌式，一般会覆盖链接式中相同的部分。