织梦的历史漏洞

有的Dede默认生成首页后，首页的链接后面会多出一个indexhtml，官方说法这样有利于网站优化。出于不让首页权重分散考虑，同时也是美观考虑，dede首页的indexhtml还是得去掉好。

下面就给大家分享一下如何去掉织梦首页的indexhtml

方法一：

使用htaccess文件目前使用的是这个办法，试验成功。

方法如下：

在根目录的htaccess里加入以下代码：

DirectoryIndex indexhtml indexphp indexhtm

方法二：

在主机里面设置默认首页顺序：把indexhtml提到最前面。

因主机不同，设置方法也不同，大多数空间都是在空间商会员后台可以改动。例如：万网。

方法三：也是最简单行之有效的办法。

找到根目录下的indexphp文件，找到如下内容

//自动生成HTML版

if(isset($_GET['upcache']) || !file_exists('indexhtml'))

{

require_once (dirname(__FILE__) "/include/commonincphp");

require_once DEDEINC"/arcpartviewclassphp";

$GLOBALS['_arclistEnv'] = 'index';

$row = $dsql->GetOne("Select From `dede_homepageset`");

$row['templet'] = MfTemplet($row['templet']);

$pv = new PartView();

$pv->SetTemplet($cfg_basedir $cfg_templets_dir "/" $row['templet']);

$row['showmod'] = isset($row['showmod']) $row['showmod'] : 0;

if ($row['showmod'] == 1)

{

$pv->SaveToHtml(dirname(__FILE__)'/indexhtml');

include(dirname(__FILE__)'/indexhtml');

exit();

} else {

$pv->Display();

exit();

}

}

else

{

header('HTTP/11 301 Moved Permanently');

header('Location:indexhtml');

}

>

把上面一大段替换成下面的这段代码

if(!file_exists(dirname(__FILE__)'/data/commonincphp'))

{

header('Location:install/indexphp');

exit();

}

require_once (dirname(__FILE__) "/include/commonincphp");

require_once DEDEINC"/arcpartviewclassphp";

$GLOBALS['_arclistEnv'] = 'index';

$row = $dsql->GetOne("Select From `dede_homepageset`");

$row['templet'] = MfTemplet($row['templet']);

$pv = new PartView();

$pv->SetTemplet($cfg_basedir $cfg_templets_dir "/" $row['templet']);

$pv->Display();

>

从你发布的可以看出，你网站已经被人种下的后门程序

1先将templets 模板文件下载到本地，用批量替换工具将挂的黑链替换，并检查templets 模板有没有后门程序，如：php 为后缀结尾的，你都分析下，里面很有可能隐藏后门程序。

2对uploadfile 程序进行备份，下载到本地，检查有没有php 为后缀结尾的 并分析

3对数据库进行备份，并将备份下载到本地

4对整个程序进行备份，并下载到本地

5删除服务器上的整个网站，在dede官方，下载一个与你程序一致的版本，上传到服务器，并重新安装

6将 检查后的 ：数据库，和 uploadfile 和 templets 上传覆盖 服务器

完成以上步骤后 挂的连接 已经被清楚，包括后面程序也被清理。

2011-8-19 DedeCMS全局变量初始化存在漏洞

描述：可能导致黑客利用漏洞侵入使用DedeCMS的网站服务器，造成网站用户数据泄露、页面被恶意篡改等严重后果。

2012-3-21 DedeCMS官方源码被植入后门

描述：导致黑客可以执行任意代码从而控制整个网站或服务器

2013-3-29DedeCMS安全漏洞

描述：“本地文件包含漏洞”，发现时为“0day”，官方已修复

2013-4-1DedeCMS 爆SQL注入漏洞

描述：乌云平台曝光， “0day”，官方已修复

2013-5-2DedeCMS“重安装”高危安全漏洞

描述：被发现“0day”，通知官方修复并启用临时修复方案

2013-6-4DedeCMS 高危安全漏洞

描述：此漏洞为“0day”，官方已修复

2013-9-30DedeCMS 57版本高危漏洞

描述：乌云白帽子上报，“0day”，跨站脚本漏洞，可在前台插入恶意JS代码，黑客已经利用

2014-1-6DedeCMS会员投稿跨站脚本漏洞

描述：攻击者可通过“会员投稿”插入恶意代码，后台管理审稿时“中招”可导致网站被黑

2014-2-17swfuploadswf跨站漏洞

描述：该漏洞乌云平台上报，站长反馈网站在检测时检测出此漏洞，已提供修复方案

2014-3-4DedeCMS多个安全漏洞

描述：包括2个高危及多个曾经预警的官方没修复的漏洞。官方发布补丁修复但没有全部修复

2014-03-05dedecmsV5738 GBK正式版20140305常规更新补丁 member/soft_addphp修复功能错误及存在的漏洞member/soft_editphp修复功能错误及存在的漏洞include/filterincphp修复功能错误及存在的漏洞2014-03-11dedecmsV5739 GBK正式版20140311常规更新补丁 data/module/606c658db048ea7328ffe1c7ae2a732fxml新增畅言模块include/helpers/channelunithelperphp模板标签解析功能完善include/inc/inc_fun_funAdminphp更新提示站点迁移完善include/taglib/flinklibphp友情链接标签缓存完善2014-03-13dedecmsV5740 GBK正式版20140313常规更新补丁 include/helpers/channelunithelperphp修复一个标签解析错误2014-11-28DEDECMS官方网被黑，黑客在织梦服务器端植入恶意代码，所有织梦用户访问后台时会提示下载1exe文件，该程序为后门，一旦下载便会感染成为远控端，而且该病毒会实现反复感染。如果用户为IE浏览器，则会直接感染成为远控端。

注：本篇模板防盗安全设置，针对的是dedecms程序本身，不涉及其他安全设置。

下面跟大家说下常见的方式，这些方法对技术有限的人来说，可以起到模板防盗作用，对真正的高手来说，大多数网站都是仿不了的，这个大家都需要知道。

方法一：修改系统默认模板文件夹名字，最简单，也很实用

步骤：后台->系统->系统基本参数->站点设置->模板默认风格->default

把default改成你自己取的名字，然后进FTP，打开templets文件夹，把default名字改成一致，这样别人就不知道你网站模板文件夹名字了。方法二：把系统默认的htm模板文件名改一改。

大家都知道默认的模板文件的名字，如indexhtm（），list_articlehtm（文章列表页），article_articlehtm（文章内容页）等等，直接就给扒下来。

所以，我们把这些默认的名字改一改，然后去栏目管理处，重新指定一下模板文件就可以增加一下模板的安全了。

1、认识一下默认模板文件的名字及作用

首页模板：/templets/default/indexhtml

文章频道首页：/templets/default/index_articlehtm

文章列表页：/templets/default/list_articlehtm

文章内容页：/templets/default/article_articlehtm

图集频道首页：/templets/default/index_imagehtm

具体模板名介绍：

2、不同栏目各自指定不同的模板

步骤：核心->常用操作->网站栏目管理->点击右侧对应栏目的“更改”链接->高级选项->手动指定模板

详细操作方法：

3、完成以上2步，生成更新一下栏目就行了。方法三：这个方法是上2个的结合，说起来也简单，

1、后台不修改默认模板风格default的名字，在templets文件夹里面新建一个文件夹，自己取名。

2、把用到的模板文件上传到这个文件夹里面；

这里需要有一个注意，因为后台没有修改默认的模板风格位置，所有，首页、列表、内容等模板文件引用的通用页头（headhtml）、页尾（footerhtm），就需要修改一下，不然就不显示了页头页尾，方法如下：

{dede:include

filename="123456/headhtm"/}

如果你自己建立的模板文件夹名字是123456，调用代码里就写123456。

搜索页面、tag页面，都放在默认的default里面，如果放在自己建的文件夹里面，系统不认。

3、按照方法二的步骤，手动指定各个栏目的模板。

方法四：修改CSS、、JS等调用路径。

这个很重要，最好把CSS、、JS等放到网站根目录再调用。

不然的话，即使你修改了默认的风格目录，在查看网页源代码的时候，还是照样可以看到模板目录的！

好多新手在用dedecms建站的时候，没有重视这个，等模板被盗了，才发现，很让人生气，所以，我们要提前做好这些防盗的准备，提高模板的安全性。

写的比较啰嗦，主要是为了让大家能够容易理解。

把install目录删除试试

if(!file_exists(dirname(__FILE__) "/data/commonincphp"))

{

header("Location:install/indexphp");

exit();

}

说明了需要删除install目录