商业源码 用DEDECMS搭建网站的安全篇：默认模板路径漏洞
如何制作动态网站
动态网站分很多种的。比如:asp+Accessasp+SQLphp+mysql等等这些都属于动态网站。动态网站本身都有前台+后台。所谓的前台就是平时我们浏览随便一个网页看到的网页,这些就是前台。而后台就是网站管理员维护更新网站信息的一个管理系统涉及到很多功能。比如:新闻发布网站信息修改会员管理网站栏目添加删除等等这些东西。说下开发工具,asp网站的话一般都用dw或者可以用fronpage都可以的,本地服务器是iis这个iis是方便你在本地测试调试用的。php网站的话用dw,当然了你狠nb了就可以直接使用记事本了。本地服务器可以用Apache架设。
目前动态网站模板有几种？那种使用最简单？1如果做个人博客,写点文章日志视频之类,用Wordpress(全球使用最多的开源免费的个人博客网站程序)
2如果做一个大量信息内容发布的网站,用DedeCMS(织梦内容管理系统,国内使用排名前4位的开源内容发布系统,主要注重信息内容发布)
3如果要综合性比较多的网站程序,就用DiscuzX2它的功能包括门户模板,个人空间,bbs论坛等众多功能模板模块。
我说的这些网站程序都是可以自己修改首页的就可以用的,或者用别人的模板做首页也可以。不过你必须懂PHP或HTML、CSS
请问现在网站程序是如何设计模板的？html语言是一个网站的主要内容。网站模板有很多的分类,有首页模板,内容页模板,文章模板,模板等等。更改首页设置得变换首页模板,但是你不懂建议不要乱修改!
◆DedeCms模板安装/制作概述：
DedeCms系统的模板是非固定的，用户可以在新建栏目时可以自行选择栏目模板，官方仅提供最基本的默认模板，即是内置系统模型的各个模板，由于DedeCms支持自定义频道模型，用户自定义新频道模型后，还需要按该模型的字段设计一套新的模板，此外，DedeCms也支持使用风格的形式使用模板，默认风格是 default，它表示系统默认使用 cmspath/templets/default 这个文件夹的模板，如果你下载了一套新的模板，你可以不必要删除 default 原有的文件，把下载的模板文件夹命名你想要的风格名称，如 style2 等，然后在后台修改了默认的模板风格名称为 style2 ，那系统将使用 templets/style2 这文件当作默认模板，但是若你手工指定了栏目模板的位置，则后台参数风格的定义无效。
一、概念，设计和使用模板，必须要理解下面几个概念
1、板块（封面）模板：
指网站主页或比较重要的栏目封面频道使用的模板，一般用“index_识别IDhtm”命名，此外，用户单独定义的单个页面或自定义标记，也可选是否支持板块模板标记，如果支持，系统会用板块模板标记引擎去解析后才输出内容或生成特定的文件。
2、列表模板：
指网站某个栏目的所有文章列表的模板，一般用 “list_识别IDhtm” 命名。
3、档案模板：
表示文档查看页的模板，如文章模板，一般用 “article_识别IDhtm” 命名。
4、其它模板：
一般系统常规包含的模板有：主页模板、搜索模板、ＲＳＳ、ＪＳ编译功能模板等，此外用户也可以自定义一个模板创建为任意文件。
二、 命名，DedeCms模板默认命名规则如下
1、模板保存位置：
模板目录：cmspath/templets/样式名称（英文，默认为default，其中system为系统底层模板，plus为插件使用的模板）/具体功能模板文件｝
2、 模板文件命名规范：
（１）index_识别IDhtm： 表示板块（栏目封面）模板；
（２）list_识别IDhtm： 表示栏目列表模板；
（３）article_识别IDhtm： 表示内容查看页（文档模板，包括专题查看页）；
（４）searchhtm： 搜索结果列表模板；
（５）indexhtm： 主页模板；
注解：[识别ID]可以在“频道模型管理”的地方获得，当然，你也可以在“频道模型管理”的地方确定某个频道的模板命名。
例：list_imagehtm 表示是就是内容类型为集的栏目默认列表模板。
article_articlehtm 表示的是文章查看页模板。
三、其它模板说明
1、默认底层模板
位置： cmspath/templets/system
功能：在没有指定标记的默认底层模板的时候，系统将自动调用这个文件夹的相应文件作为底层模板。
2、插件目录模板
位置： cmspath/templets/plus
功能：评论、友情链接、RSS地图等模板。
3、会员后台模板
位置： cmspath/member/templets
功能：会员后台的模板。
四、二次开发
DedeCms主要的模板解析类是 include/inc_arcpart_viewphp、include/inc_arclist_viewphp、include/inc_archives_viewphp，这些类是与pub_dedetagphp一起工作的，如果你想为文档模板、列表模板、板块模板增加一些功能，可以直接修改这几个类的ParseTemplet()或ParseTempletsFirst()这类的方法，把标记名称，属性对应试相应该的功能函数即时。
希望能帮到你
一般是你网站程序有漏洞才会被挂马的，有些木马代码直接隐藏在DEDECMS的主程序里。建议你找专业做网站安全的sinesafe来给你解决。
建站一段时间后总能听得到什么什么网站被挂马，什么网站被黑。好像入侵挂马似乎是件很简单的事情。其实，入侵不简单，简单的是你的网站的必要安全措施并未做好。
有条件建议找专业做网站安全的sine安全来做安全维护。
一：挂马预防措施：
1、建议用户通过ftp来上传、维护网页，尽量不安装asp的上传程序。
2、定期对网站进行安全的检测，具体可以利用网上一些工具，如sinesafe网站挂马检测工具！
序，只要可以上传文件的asp都要进行身份认证!
3、asp程序管理员的用户名和密码要有一定复杂性，不能过于简单，还要注意定期更换。
4、到正规网站下载asp程序，下载后要对其数据库名称和存放路径进行修改，数据库文件名称也要有一定复杂性。
5、要尽量保持程序是最新版本。
6、不要在网页上加注后台管理程序登陆页面的链接。
7、为防止程序有未知漏洞，可以在维护后删除后台管理程序的登陆页面，下次维护时再通过ftp上传即可。
8、要时常备份数据库等重要文件。
9、日常要多维护，并注意空间中是否有来历不明的asp文件。记住：一分汗水，换一分安全!
10、一旦发现被入侵，除非自己能识别出所有木马文件，否则要删除所有文件。
11、对asp上传程序的调用一定要进行身份认证，并只允许信任的人使用上传程序。这其中包括各种新闻发布、商城及论坛程
二：挂马恢复措施：
1修改帐号密码
不管是商业或不是，初始密码多半都是admin。因此你接到网站程序第一件事情就是“修改帐号密码”。帐号
密码就不要在使用以前你习惯的，换点特别的。尽量将字母数字及符号一起。此外密码最好超过15位。尚若你使用
SQL的话应该使用特别点的帐号密码，不要在使用什么什么admin之类，否则很容易被入侵。
2创建一个robotstxt
Robots能够有效的防范利用搜索引擎窃取信息的骇客。
3修改后台文件
第一步：修改后台里的验证文件的名称。
第二步：修改connasp，防止非法下载，也可对数据库加密后在修改connasp。
第三步：修改ACESS数据库名称，越复杂越好，可以的话将数据所在目录的换一下。
4限制登陆后台IP
此方法是最有效的，每位虚拟主机用户应该都有个功能。你的IP不固定的话就麻烦点每次改一下咯，安全第一嘛。
5自定义404页面及自定义传送ASP错误信息
404能够让骇客批量查找你的后台一些重要文件及检查网页是否存在注入漏洞。
ASP错误嘛，可能会向不明来意者传送对方想要的信息。
6慎重选择网站程序
注意一下网站程序是否本身存在漏洞，好坏你我心里该有把秤。
7谨慎上传漏洞
据悉，上传漏洞往往是最简单也是最严重的，能够让黑客或骇客们轻松控制你的网站。
可以禁止上传或着限制上传的文件类型。不懂的话可以找专业做网站安全的sinesafe公司。
8 cookie 保护
登陆时尽量不要去访问其他站点，以防止 cookie 泄密。切记退出时要点退出在关闭所有浏览器。
9目录权限
请管理员设置好一些重要的目录权限，防止非正常的访问。如不要给上传目录执行脚本权限及不要给非上传目录给于写入权。
10自我测试
如今在网上黑客工具一箩筐，不防找一些来测试下你的网站是否OK。
11例行维护
a定期备份数据。最好每日备份一次，下载了备份文件后应该及时删除主机上的备份文件。
b定期更改数据库的名字及管理员帐密。
c借WEB或FTP管理，查看所有目录体积，最后修改时间以及文件数，检查是文件是否有异常，以及查看是否有异常的账号。
网站被挂马一般都是网站程序存在漏洞或者服务器安全性能不达标被不法黑客入侵攻击而挂马的。
网站被挂马是普遍存在现象然而也是每一个网站运营者的心腹之患。
您是否因为网站和服务器天天被入侵挂马等问题也曾有过想放弃的想法呢，您否也因为不太了解网站技术的问题而耽误了网站的运营，您是否也因为精心运营的网站反反复复被一些无聊的黑客入侵挂马感到徬彷且很无耐。有条件建议找专业做网站安全的sine安全来做安全维护。
参考下面方法
首先，打开后台——模板——默认模板管理——indexhtm
看到有一句，
rel="stylesheet" media="screen" type="text/css" />说明，模板是根据这个 CSS 来布局网
页的，于是就打开网站目录下面的templets\style\dedecmscss然后来分析一下CSS的构成。
根据主页的调用，来研究 CSS 这样容易理解。打开主页模板，找到：
那么 w960 center clear mt1 都定义了什么呢？打开 DEDECMSCSS 找打相关的定义。
center{
1 margin:0px auto; 定义了CSS 模块的边缘位置都是 0，也就是这个center 的层
距离上右下左都是 0px;
2 }
3 w960{
4 width:960px; 定义了整体的宽度为 960px;
5
6 }
7 pright infos_userinfo {
8 margin-bottom: 0px; 定义了首页右部下的互动中心的下面边缘为 0px;
9 }
10 mt1{
11 margin-top:8px; 定义了mt1 的顶部边缘为8px;
12 }
13 pright mt1{
14 margin-top:0px; 定义了pright 下面的mt1 顶部边缘为0px;
15 }
16 mt2{
17 margin-top:16px; 顶部边缘为16px;
18 }
19 clear{
20 overflow:hidden; 如果clear 层里面的内容超出了 层的范围 就隐藏起来。
21 }
这个pleft 的定义没有在dedecmscss 中，但是会发现一句
话
@import url("layoutcss");
@import url("pagecss");
这说明，在dedecmscss 中引用了 pagecss 和layoutcss 这两个样式表，于是就在
pagecss 中找到了pleft 的定义
pleft{
width:712px;定义了宽度
float:left;该层向左浮动
overflow:hidden;超出范围则隐藏
}
在该层下面调用的是新闻头条的内容，看看它的 css
index bignews{
width:424px;
height:400px;
float:right; 向右浮动
border:1px solid #DFF2F5;表示边框线用 #dff2f5 的实体颜色填充
background:url(/images/headbg-topgif) repeat-x;背景为 headbg-topgif 并且横
向平铺
overflow:hidden;超出则隐藏。
}
所以，看到头条的这部分是在 flash 幻灯片右边显示，并且加上了浅蓝色的边框线。
再来看看 onenews 是如何定义的。
index bignews onenews{
margin:0 3px 0 3px; 左右外边距分别空3 个像素
padding:7px 6px;上左内边距分别空7，6 个像素
border-bottom:1px dashed #EBEBEB;下边框加一个 #ebebeb 的虚线
}
所以看见头条的文章左右都有一定的距离，并且下面还有一个虚线显示
这个下面调用的是以往的头条，默认的有 4 篇文章，调用了d1 d1arc 2 个css
index bignews divd1{
padding:6px 10px;
clear:both;这句话是清除浮动，如果不加它，大家可以试试看，是不是 d1 这个层就跑到 头条的
右边了。
width:406px;
overflow:hidden;
}
index bignews divd1arc{
margin-right:12px;
width:190px;
float:left;因为此时要调用4 篇文章，改文章是 22 排列的，如果不加这个属性，新闻就应该垂
直排列了（因为刚才用 clear:both 清除浮动啦），大家试试看是不是这样的。
height:24px;
line-height:24px;行间距，即字体最底端与字体内部顶端之间的距离
overflow:hidden;
}
最新文章
下面看看 newarticle 这个css 吧，还是拿快学网的首页举例子，上面的这句是用来显示 “最近
更新”那几个绿颜色字的，看看它是怎么定义的。
index bignews divnewarticle{
height:24px; 高度
background:url(/images/new-articlegif) 8px 3px no-repeat;背景在x 轴8px 和y 轴
3px 出出现
font-size:0px;
color:#fff;
} 所以，能看到那个最近更新并且还有一个横条，其实它是个，大家右键另存为
看看就知道了
这里面调用了 c2 和ico1 两个 css
index bignews ulc2{
width:416px;
padding:0px 4px 0px; 内边距为 上0 右4 下0
clear:both;清除浮动 和上面的意思一样
overflow:hidden;
}
ico1 这个css 在layoutcss 中了。
ico1 li{
padding-left:16px; 指的是 新闻列表左内边距为 16px
background:url(/images/ico-1gif) 7px 11px no-repeat; 背景在7px,11px 处出现，所以看到最新文章的列表左边都有一个小黑点，这个小黑点就是 ico-1gif
}
到此，中部的头条新闻和最近更新已经分析完了。
看看flash 的 css 定义
index flashnews{
width:280px;
height:192px;
overflow:hidden;
float:left;这句决定了，flash 的新闻列表在 头条的左边显示。如果把 bignews 和flashnews
的float 属性互换一下应该是上面结果呢？大家试试看。
}
这边是特别推荐调用的样式，还是来看看 css
index latestnews{
width:280px;
height:200px;
margin-top:8px;
float:left;
}
index latestnews dl dd{
padding:2px 5px;
}
index latestnews ul a{
color:#555;
} 这里面就不用解释了吧，可以和上面的对照一下就能明白上面意思了。关键 dl dt dd 要弄明白
是什么意思。
dl 内容块
dt 内容块的标题
dd 内容
可以这么写：
标题
内容1
内容2
在layoutcss 中找到 tbox 的相关定义，其他的都不用罗嗦了，只有一句大家注意看一
下
tbox dt strong{
height:26px;
line-height:26px; !important;line-height:25px; 这一句是为了兼容 IE 和FF,比如
font-size: 12px !important;
font-size: 13px;
在 IE里面，由于 IE不理解 !important，则字体大小按照最后设定的 13px 展示
而FF 里面， !important 为提高优先级别，则字体大小按照 !important标记的12px 展示
某些css 某些代码在这两类浏览器里的显示是有差别的（注意这也是使用!important 的主要原因
所在），比如height: 21px;，在 IE6 和（IE7，FF）里显示就有差别，后者（IE7，FF）会比前
者（IE6）少一个像素。
padding-left:22px;
padding-right:4px;
display:block;//变成块级 ，因为strong 是内联元素，必须强制转换，不然的话是没有办法
定义padding 的。大家可以百度一下 内联元素看看。
float:left;
color:#397CBE;
background:url(/images/fbicogif) 5px 6px no-repeat;
letter-spacing:1px;
}
你看下这资料
参考资料：
0条评论