用DEDECMS搭建网站的安全篇：默认模板路径漏洞

看看描述里的代码是否和自己的关键词一致。

织梦内容管理系统(DedeCms) 以简单、实用、开源而闻名，是国内最知名的PHP开源网站管理系统，也是使用用户最多的PHP类CMS系统，在经历多年的发展，目前的版本无论在功能，还是在易用性方面，都有了长足的发展和进步，DedeCms免费版的主要目标用户锁定在个人站长，功能更专注于个人网站或中小型门户的构建，当然也不乏有企业用户和学校等在使用本系统。

参见最新视频目录：

织梦CMS网站顶部添加横向登录框

1、DedeCMS默认风格里，顶部左边有一段话"织梦CMS - 轻松建站从此开始！"，很多朋友想把这段话修改成一个横向登录框，像织梦吧顶部一样。

织梦吧独家发布《第一季织梦DEDECMS建站视频教程》

by:D8站长网(原织梦吧)

第1讲Dedecms本地环境配置、站点搭建

第2讲Dedecms站点备份/搬家/优化

第3讲采集规则的写法/导入/数据整理

第4讲Dedecms模板安装视频教程

第5讲Dedecms系统站点广告添加与更换

第6讲文档列表标签(arclist)的使用

第7讲使用dede模板搭建站点强化篇

第8讲友情链接的调用及其分类扩展调用

第9讲织梦Dede专题和自定义宏标记的调用

第10讲织梦dedecms评论和自定义表单的使用

第11讲DEDECMS仿站实战之首页仿制（1）

第12讲DEDECMS仿站实战之首页仿制（2）

第13讲。织梦dedecms仿站实战之列表页仿制

第14讲。织梦DEDECMS仿站实站之内页仿制

第15讲让DEDECMS站点与新浪微博内容同步

第16讲DEDECMS仿站实战之单页的制作

第17讲织梦DEDECMS仿站实战之留言本美化

第18讲织梦CMS仿站实战之企业模板调用

第19讲织梦DEDECMS仿站实战之军事站仿制1

第20讲织梦DEDECMS仿站实战之军事站仿制2

第21讲织梦CMS幻灯片调用方法及其扩展

第22讲织梦CMS仿站实战之军事站仿制3

第23讲织梦CMS仿站实战之军事站仿制4

第24讲织梦CMS仿站实战之军事站仿制5

第25讲织梦仿站实战6及dedecms横向登录调用

第26讲DEDECMSv57建站：企业站结构架设

第27讲DEDECMS企业模板安装调用实战

第28讲更多视频教程，请关注论坛视频版块

第29讲织梦安装 以及基础操作视频教程_基础操作（2） 第30讲织梦安装 以及基础操作视频教程_基础操作（2）

第31讲织梦安装 以及基础操作视频教程_基础操作（2） 第32讲织梦安装 以及基础操作视频教程_基础操作（2）

第33讲织梦视频教程_模版修改标签调用列表页

织梦怎么用自定义表单做查询带验证码

利用织梦内容管理系统（DedeCMS）自带提供的自定义表单功能即可满足大多数的此类需求。

通过给自定义表单加入验证码的功能，可以防止一些用户恶意提交。

1、先进入DedeCMS后台生成自定义表单。

2、在自定义表单模板中添加验证码代码，如下：

<input

name="validate" type="text" id="vdcode" style="text-transform:uppercase;" size="8"/><img

id="vdimgck" align="absmiddle" onClick="thissrc=thissrc+''" style="cursor:

pointer;" alt="看不清？点击更换" src="/include/vdimgckphp"/><a

href="javascript:vide(-1);" onClick="changeAuthCode();">看不清？ </a>;

3、在当前页添加JS代码，如下：

<script

type="text/javascript" language="javascript">//验证

码 function changeAuthCode(){var num =newDate()getTime();varrand= Mathround(Mathrandom()10000);

num = num +rand;

$('#ver_code')css('visibility','visible');if($("#vdimgck")[0]){

$("#vdimgck")[0]src ="/include/vdimgckphptag="+ num;}returnfalse;}</script>

4、修改订单处理页面，打开网站根目录/plus/diyphp文件， 添加验证代码到第61行左右位置。如下：

if(!empty($dede_fields)){$validate=empty($validate) '':strtolower(trim($validate));$svali=strtolower(GetCkVdValue());if(($validate==''||$validate!=$svali)&&preg_match("/6/",$safe_gdopen)){

ResetVdValue();

ShowMsg('验证码不正确!',$dede_add,0,1000);exit;}}

一般是你网站程序有漏洞才会被挂马的，有些木马代码直接隐藏在DEDECMS的主程序里。建议你找专业做网站安全的sinesafe来给你解决。

建站一段时间后总能听得到什么什么网站被挂马，什么网站被黑。好像入侵挂马似乎是件很简单的事情。其实，入侵不简单，简单的是你的网站的必要安全措施并未做好。

有条件建议找专业做网站安全的sine安全来做安全维护。

一：挂马预防措施：

1、建议用户通过ftp来上传、维护网页，尽量不安装asp的上传程序。

2、定期对网站进行安全的检测，具体可以利用网上一些工具，如sinesafe网站挂马检测工具！

序，只要可以上传文件的asp都要进行身份认证!

3、asp程序管理员的用户名和密码要有一定复杂性，不能过于简单，还要注意定期更换。

4、到正规网站下载asp程序，下载后要对其数据库名称和存放路径进行修改，数据库文件名称也要有一定复杂性。

5、要尽量保持程序是最新版本。

6、不要在网页上加注后台管理程序登陆页面的链接。

7、为防止程序有未知漏洞，可以在维护后删除后台管理程序的登陆页面，下次维护时再通过ftp上传即可。

8、要时常备份数据库等重要文件。

9、日常要多维护，并注意空间中是否有来历不明的asp文件。记住：一分汗水，换一分安全!

10、一旦发现被入侵，除非自己能识别出所有木马文件，否则要删除所有文件。

11、对asp上传程序的调用一定要进行身份认证，并只允许信任的人使用上传程序。这其中包括各种新闻发布、商城及论坛程

二：挂马恢复措施：

1修改帐号密码

不管是商业或不是，初始密码多半都是admin。因此你接到网站程序第一件事情就是“修改帐号密码”。帐号

密码就不要在使用以前你习惯的，换点特别的。尽量将字母数字及符号一起。此外密码最好超过15位。尚若你使用

SQL的话应该使用特别点的帐号密码，不要在使用什么什么admin之类，否则很容易被入侵。

2创建一个robotstxt

Robots能够有效的防范利用搜索引擎窃取信息的骇客。

3修改后台文件

第一步：修改后台里的验证文件的名称。

第二步：修改connasp，防止非法下载，也可对数据库加密后在修改connasp。

第三步：修改ACESS数据库名称，越复杂越好，可以的话将数据所在目录的换一下。

4限制登陆后台IP

此方法是最有效的，每位虚拟主机用户应该都有个功能。你的IP不固定的话就麻烦点每次改一下咯，安全第一嘛。

5自定义404页面及自定义传送ASP错误信息

404能够让骇客批量查找你的后台一些重要文件及检查网页是否存在注入漏洞。

ASP错误嘛，可能会向不明来意者传送对方想要的信息。

6慎重选择网站程序

注意一下网站程序是否本身存在漏洞，好坏你我心里该有把秤。

7谨慎上传漏洞

据悉，上传漏洞往往是最简单也是最严重的，能够让黑客或骇客们轻松控制你的网站。

可以禁止上传或着限制上传的文件类型。不懂的话可以找专业做网站安全的sinesafe公司。

8 cookie 保护

登陆时尽量不要去访问其他站点，以防止 cookie 泄密。切记退出时要点退出在关闭所有浏览器。

9目录权限

请管理员设置好一些重要的目录权限，防止非正常的访问。如不要给上传目录执行脚本权限及不要给非上传目录给于写入权。

10自我测试

如今在网上黑客工具一箩筐，不防找一些来测试下你的网站是否OK。

11例行维护

a定期备份数据。最好每日备份一次，下载了备份文件后应该及时删除主机上的备份文件。

b定期更改数据库的名字及管理员帐密。

c借WEB或FTP管理，查看所有目录体积，最后修改时间以及文件数，检查是文件是否有异常，以及查看是否有异常的账号。

网站被挂马一般都是网站程序存在漏洞或者服务器安全性能不达标被不法黑客入侵攻击而挂马的。

网站被挂马是普遍存在现象然而也是每一个网站运营者的心腹之患。

您是否因为网站和服务器天天被入侵挂马等问题也曾有过想放弃的想法呢，您否也因为不太了解网站技术的问题而耽误了网站的运营，您是否也因为精心运营的网站反反复复被一些无聊的黑客入侵挂马感到徬彷且很无耐。有条件建议找专业做网站安全的sine安全来做安全维护。

1、标签名称：adminname

功能说明：

获得责任编辑名称

使用实例：

{dede:adminname /}

2、标签名称：arclist

功能说明：

文章列表调用标记

使用实例：

{dede:arclist flag='h' typeid='' row='' col='' titlelen='' infolen=''

imgwidth='' imgheight='' listtype='' orderby='' keyword='' limit='0,1'}

<a href='[field:arcurl/]'>[field:title/]</a>

{/dede:arclist}

参数说明：

col='' 分多少列显示（默认为单列），53版中本属性无效，要多列显示的可用div+css实现

row='10' 返回文档列表总数

typeid='' 栏目ID,在列表模板和档案模板中一般不需要指定，在封面模板中允许用","分开表示多个栏目；

titlelen = '30' 标题长度 等同于titlelength

infolen='160' 表示内容简介长度 等同于infolength

imgwidth='120' 缩略图宽度

imgheight='90' 缩略图高度

listtype='all' 栏目类型（顶级栏目？？）

orderby='sortrank' 文档排序方式

§ orderby='hot' 或 orderby='click' 表示按点击数排列

§ orderby='sortrank' 或 orderby='pubdate' 按出版时间排列

§ orderby='near'

§ orderby=='lastpost' 按最后评论时间

§ orderby=='scores' 按得分排序

§ orderby='id' 按文章ID排序

§ orderby='rand' 随机获得指定条件的文档列表

keyword='' 含有指定关键字的文档列表，多个关键字用","分

innertext = '' 单条记录样式

aid='' 指定文档ID

idlist ='' 提取特定文档（文档ID）

channelid 频道ID

limit='' 起始,结束 表示限定的记录范围（如：limit='1,2'）

flag = 'h' 自定义属性值：头条[h]推荐[c][p]幻灯[f]滚动[s]跳转[j]图文[a]加粗

noflag = '' 同flag，但这里是表示不包含这些属性

orderway='desc' 值为 desc 或 asc ，指定排序方式是降序还是顺向排序，默认为降序

subday='天数' 表示在多少天以内的文档

3、标签名称：arclistsg

功能说明：

单表模型的文章列表调用标记

使用实例：

{dede:arclistsg flag='h' typeid='' row='' col='' titlelen='' orderway='' keyword='' limit='0,1'}

<a href='[field:arcurl/]'>[field:title/]</a>

{/dede:arclistsg}

参数说明：

col='' 分多少列显示（默认为单列），53版中本属性无效，要多列显示的可用div+css实现

row='10' 返回文档列表总数

typeid='' 栏目ID,在列表模板和档案模板中一般不需要指定，在封面模板中允许用","分开表示多个栏目；

titlelen = '30' 标题长度 等同于titlelength

orderwey='desc'或'asc' 排序方向

keyword= 含有指定关键字的文档列表，多个关键字用","分

innertext = "[field:title/]" 单条记录样式(innertext是放在标签之间的代码)

arcid='' 指定文档ID

idlist ='' 提取特定文档（文档ID）

channelid = '' 频道ID

limit='' 起始,结束 表示限定的记录范围（如：limit='1,2'）

flag = 'h' 自定义属性值：头条[h]推荐[c][p]幻灯[f]滚动[s]跳转[j]图文[a]加粗

subday='天数' 表示在多少天以内的文档

4、标签名称：autochannel

功能说明：

按排序位置的获取单个栏目的链接信息

使用实例：

{dede:autochannel partsort='' typeid=''}{/dede:autochannel}

参数说明：

partsort = '0' 栏目所在的排序位置

typeid = '0' 指定的父栏目

5、标签名称：channel

功能说明：

获取栏目列表标签

使用实例：

{dede:channel type='top' row='8' currentstyle="<li><a href='~typelink~' class='thisclass'>~typename~</a> </li>"}

<li><a href='[field:typelink/]'>[field:typename/]</a> </li>

{/dede:channel}

参数说明：

typeid = '0' 栏目ID

reid = '0' 上级栏目ID

row = '100' 调用栏目数

col = '1' 分多少列显示（默认为单列）

type = 'son' son表示下级栏目,self表示同级栏目,top顶级栏目

currentstyle = '' 应用样式

6、标签名称：channelartlist

功能说明：

获取当前频道的下级栏目的内容列表标签

使用实例：

{dede:channelartlist row=6}

<dl>

<dt><a href='{dede:field name='typeurl'/}'>{dede:field name='typename'/}</a></dt>

<dd>

{dede:arclist titlelen='42' row='10'} <ul class='autod'>

<li><a href="[field:arcurl /]">[field:title /]</a></li>

<li>([field:pubdate function="MyDate('m-d',@me)"/])</li>

</ul>

{/dede:arclist}

</dl>

{/dede:channelartlist}

参数说明：

typeid = '0' 频道ID,多个请用","分隔

row = '20' 获取的栏目返回值

其他说明：

除了宏标记外，channelArtlist 是唯一一个可以直接嵌套其它标记的标记，不过仅限于嵌套

{dede:type}{/dede:type} 和 {dede:arclist}{/dede:arclist} 两个标记。

7、标签名称：demotag

功能说明：

这仅是一个演示标签

使用实例：

{dede:demotag /}

8、标签名称：feedback

功能说明：

调用最新评论

使用实例：

{dede:feedback}

<ul>

<li class='fbtitle'>[field:username function="(@me=='guest' '游客' : @me)"/] 对 [field:title/] 的评论：</li>

<li class='fbmsg'> <a href="plus/feedbackphpaid=[field:aid/]" class='fbmsg'>[field:msg /]</a></li>

</ul>

{/dede:feedback}

参数说明：

row='12' 调用评论条数

titlelen='24' 标题长度

infolen='100' 评论长度

9、标签名称：flink

功能说明：

友情链接

使用实例：

{dede:flink row='24'/}

参数说明：

type='image' 或textall，链接，text文字链接；

row='24' 链接数量

titlelen='24' 站点文字的长度

linktype='1' 链接位置(首页，内页)

typeid='0' 所有类型

10、标签名称：hotwords

功能说明：

获取网站搜索的热门关键字

使用实例：

{dede:hotwords /}

参数说明：

num='6' 关键词数目

subday='365' 天数

maxlength='16' 关键词最大长度11、标签名称：infoguide

功能说明：

分类信息的地区与小分类搜索

使用实例：

{dede:infoguide /}

12、标签名称：likepage

功能说明：

单页文档相同标识调用标签

使用实例：

{dede:likepage likeid='' row=''/}

参数说明：

row = '' 调用条数

likeid = '' 标识名

13、标签名称：likesgpage

功能说明：

单页文档调用标签

使用实例：

{dede:likespage row=''/}

参数说明：

row = '' 调用条数

14、标签名称：loop

功能说明：

调用任意表的数据标签

使用实例：

{dede:loop table='dede_archives' sort='' row='4' if=''}

<a href='[field:arcurl/]'>[field:title/]</a>

{/dede:loop}

参数说明：

table = '' 查询表名

sort = '' 用于排序的字段

row = '' 返回结果的条数

if = '' 查询的条件

15、标签名称：memberinfos

功能说明：

文档关连的用户信息

使用实例：

{dede:memberinfos /}

参数说明：

无属性，支持 innertext

16、标签名称：memberlist

功能说明：

会员信息调用标签

使用实例：

{dede:memberlist orderby='scores' row='20'}

<a href="/member/indexphpuid={dede:fielduserid /}">{dede:fielduserid /}</a>

<span>{dede:fieldscores /}</span>

{/dede:memberlist}

参数说明：

orderby = 'scores' 按积分排序

row = '6' 调用数目

17、标签名称：myad

功能说明：

广告调用

使用实例：

{dede:myad name=''/}

参数说明：

typeid='0' 投放范围,0为全站

name='' 广告标识

18、标签名称：mynews

功能说明：

站内新闻调用标签

使用实例：

{dede:mynews row='' titlelen=''/}

参数说明：

row='1' 调用站内新闻数

titlelen='24' 新闻标题长度

19、标签名称：mytag

功能说明：

自定义宏标记调用标签

使用实例：

{dede:mytag typeid='0' name=''/}

参数说明：

typeid = '0' 栏目ID 0为全站栏目

name = '' 标记名

20、标签名称：softmsg

功能说明：

下载说明标签

使用实例：

{dede:softmsg /}

21、标签名称：sonchannel

功能说明：

子栏目调用标签

使用实例：

{dede:sonchannel}

<a href='[field:typeurl/]'>[field:typename/]</a>

{/dede:sonchannel}

参数说明：

row ='100' 返回数目

col = '1' 默认单列显示

22、标签名称：sql

功能说明：

SQL标签

使用实例：

{dede:sql sql=''}

[field:title/]

{/dede}

参数说明：

sql='' 完整的SQL语句

23、标签名称：tag

功能说明：

TAG调用标签

使用实例：

{dede:tag row='30' sort='new'/}

参数说明：

row='30' 调用条数

sort='new' 排序方式 month，rand，week

24、标签名称：type

功能说明：

指定的单个栏目的链接标签

使用实例：

{dede:type}

<a href="[field:typelink /]">[field:typename /]</a>

{/dede:type}

参数说明：

typeid='' 指定栏目ID

25、标签名称：vote

功能说明：

投票标签

使用实例：

{dede:vote id='' lineheight='22' tablewidth='100%' titlebgcolor='#EDEDE2' titlebackground='' tablebgcolor='#FFFFFF'/}

参数说明：

id='' 数字，当前投票ID

lineheight='24' 表格高度

tablewidth='100%' 表格宽度

titlebgcolor='#EDEDE2' 投票标题背景色

titlebackground=''

tablebg ='' 投票表格背景色

为了更方便修改样式，建议在后台->辅助插件->投票管理，直接复制生成的HTML代码来使用 《 幻为您专业解答》

◆DedeCms模板安装/制作概述：

　　DedeCms系统的模板是非固定的，用户可以在新建栏目时可以自行选择栏目模板，官方仅提供最基本的默认模板，即是内置系统模型的各个模板，由于DedeCms支持自定义频道模型，用户自定义新频道模型后，还需要按该模型的字段设计一套新的模板，此外，DedeCms也支持使用风格的形式使用模板，默认风格是 default，它表示系统默认使用 cmspath/templets/default 这个文件夹的模板，如果你下载了一套新的模板，你可以不必要删除 default 原有的文件，把下载的模板文件夹命名你想要的风格名称，如 style2 等，然后在后台修改了默认的模板风格名称为 style2 ，那系统将使用 templets/style2 这文件当作默认模板，但是若你手工指定了栏目模板的位置，则后台参数风格的定义无效。

一、概念，设计和使用模板，必须要理解下面几个概念

1、板块（封面）模板：

　　指网站主页或比较重要的栏目封面频道使用的模板，一般用“index_识别IDhtm”命名，此外，用户单独定义的单个页面或自定义标记，也可选是否支持板块模板标记，如果支持，系统会用板块模板标记引擎去解析后才输出内容或生成特定的文件。

2、列表模板：

　　指网站某个栏目的所有文章列表的模板，一般用 “list_识别IDhtm” 命名。

3、档案模板：

　　表示文档查看页的模板，如文章模板，一般用 “article_识别IDhtm” 命名。

4、其它模板：

　　一般系统常规包含的模板有：主页模板、搜索模板、ＲＳＳ、ＪＳ编译功能模板等，此外用户也可以自定义一个模板创建为任意文件。

二、 命名，DedeCms模板默认命名规则如下

1、模板保存位置：

　　模板目录：cmspath/templets/样式名称（英文，默认为default，其中system为系统底层模板，plus为插件使用的模板）/具体功能模板文件｝

2、 模板文件命名规范：

（１）index_识别IDhtm：　表示板块（栏目封面）模板；

（２）list_识别IDhtm：　表示栏目列表模板；

（３）article_识别IDhtm：　表示内容查看页（文档模板，包括专题查看页）；

（４）searchhtm： 搜索结果列表模板；

（５）indexhtm： 主页模板；

注解：[识别ID]可以在“频道模型管理”的地方获得，当然，你也可以在“频道模型管理”的地方确定某个频道的模板命名。

例：list_imagehtm 表示是就是内容类型为集的栏目默认列表模板。

　　article_articlehtm 表示的是文章查看页模板。

三、其它模板说明

1、默认底层模板

位置： cmspath/templets/system

功能：在没有指定标记的默认底层模板的时候，系统将自动调用这个文件夹的相应文件作为底层模板。

2、插件目录模板

位置： cmspath/templets/plus

功能：评论、友情链接、RSS地图等模板。

3、会员后台模板

位置： cmspath/member/templets

功能：会员后台的模板。

四、二次开发

　　DedeCms主要的模板解析类是 include/inc_arcpart_viewphp、include/inc_arclist_viewphp、include/inc_archives_viewphp，这些类是与pub_dedetagphp一起工作的，如果你想为文档模板、列表模板、板块模板增加一些功能，可以直接修改这几个类的ParseTemplet()或ParseTempletsFirst()这类的方法，把标记名称，属性对应试相应该的功能函数即时。

希望能帮到你