关于dede织梦cms如何防止黑客攻击的几点建议

这个是高仿砍材网的源码吧，是因为评论下面少了一个闭合的</div>标签，增加上就可以了。

        </div>

    </div> 

    <!--右侧-->

    <div class="listr">

我昨天刚解决的这个问题。

你看看效果 wwwxiaozxcn/huabian/215html

开学了，返校了，又在宿舍上网了，但现在的校园网安全吗暑假中，DeDeCMS系统曝出了严重的漏洞，这个系统在很多学校的校园网中存在，黑客利用该漏洞就可以控制校园网，进行挂马、嵌入病毒……不过校园网中不乏电脑高手，下面我们就来看看“红帽”同学对自己学校网站的开学安全检测。

我的网名叫“红帽”，我猜每一个大学校园里，都有像我这样的一号人，我们对电脑充分的了解，面对互联网海洋时，就如同游泳池中的菲尔普斯一样。无论你需要找到什么东西，只要它存在于互联网之中，或者在互联网中生活过一段时间，我都能够帮助你找到源头，或者帮你把你感兴趣的东西弄到手。你猜对了，我就是黑客，活跃在校园里面的黑客。

我自认为算是高手，帮同学从别的黑客手里**回被窃的账号，在网吧让一个讨厌鬼不停的更换电脑，也曾经尝试着入侵NASA的计算机网络。

这段日子正是开学的日子，我准备对我的学校网站进行了一次安全检测。或许你要问，为什么要对自己学校的网站进行安全检测我们学校用了DeDeCMS系统(中文名称是织梦内容管理系统)，这个系统在很多学校中被使用。

博弈主题：攻击DeDeCMS整站系统

技术难度：★★★★

重点知识：如何用新的DeDeCMS漏洞来入侵

DeDeCMS系统被很多学校使用并不能让我产生检测自己学校的网站的念头，真正让我产生这个念头的原因是这个系统最近曝出了严重的漏洞，不知道网管补上该漏洞没有，如果没有补上，大家回校后上校园网就危险了。

DeDeCMS身藏URL编码漏洞

这次DeDeCMS新出的漏洞是一个URL编解码漏洞，导致漏洞出现的原因是DeDeCMS的设计者在joblistphp、guestbook_adminphp等文件中对orderby参数未做过滤。黑客可以利用这些漏洞查询数据库的敏感信息，例如管理员密码、加密key等，一旦这些敏感资料被黑客掌握，要在校园网内挂马就是轻而易举的事情了，真危险。

小知识：编码是将源对象内容按照一种标准转换为一种标准格式内容。解码是和编码对应的，它使用和编码相同的标准将编码内容还原为最初的对象内容。编解码的目的最初是为了加密信息，经过加密的内容不知道编码标准的人很难识别。

实战入侵

既然知道了漏洞的成因，下面就来亲手检测一下。目前有两种方案可以实现DeDeCMS整站系统的入侵，一种是PHP脚本的入侵方案，采用这种方案，需要先在自己的本机调试好PHP解析环境，然后登录入侵的目标网站，在PHP环境中运行漏洞测试代码。不过这种方案实行起来相对复杂，因此我使用第二种进行检测，通过漏洞检测注入程序直接注入。

首先，登录学校的网站。然后打开《DeDeCMS漏洞注入检测程序》，点击“Target

Infomation”标签选项，在“URL”一项后面将寻找到的有DeDeCMS系统漏洞的网址复制粘贴到地址输入框，这里利用DeDeCMS的网站路径地址“/include/htmledit/indexphp”得到网站的物理路径。

在登录系统之后，复制浏览器地址栏中的网站路径，例如[url=http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren]http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren[/url]，然后复制粘贴提交测试，粘贴完成后点击“Check”按钮，测试网站是否符合条件

1、修改后台目录：安装好网站之后第一步就应该修改后台目录，把默认的dede随意改成其他名字，最好是MD5加密形式的；（一般的普通用户不会使用md5加密，那就把后台目录改得复杂一点吧，只要自己知道就行了）

2、设置复杂的后台密码：密码应该由大写字母、小写字母和数字组成；（后台密码想多复杂就改多复杂，最好用个记事本记着，太复杂的密码容易忘，特别是企业网站用户，长时间不更新网站密码就忘了织梦者也是深有体会的呀）

3、安装的时候数据库的表前缀最好改一下，不用dedecms默认的前缀dede_,可以改成其他的名称如bdw_;（这一条您如果是找人做站的一定要提前知会建站的人把前缀改掉要不然用了默认的前缀，那到最后谁都头疼）

4、删除安装文件install：安装后应立即把install文件删除；（这个一定要删除）

5、不用会员系统，就把member整个文件夹全部；（一般的dedecms做的企业站是用不到member这个文件夹的删了吧）

6、用不到留言本，就把plus下的guestbook文件删除；（这里说的是用不到留言本 看清哦 企业站有很多用户都会要个留言本 ）

7、不用下载功能，就把管理目录下的soft__xxx_xxxphp删除；（一般的企业站和文章类型的网站也用不到下载功能）

8、如果是使用HTML，可以把plus下的相应文件和根目录下的indexphp删除；（大家都喜欢生成静态的网站，搜索引擎也喜欢 所以还是删了吧）

9、不用专题功能可以把special文件夹删除；（专题大多数朋友都用不着）

10、用不到企业模块可以把company文件夹删除；（这个模块可以不要）

11、不用下载发布功能可以把管理目录下soft__xxx_xxxphp删除；（同第八条）

12、删除后台的文件式管理器：通过后台的文件式管理器，可以修改网站的任何文件，为了安全，建议把管理目录下file_manage_xxxphp删除；（嗯 织梦者一般都用这个功能改css 删了吧 黑客很厉害的）

13、如果不需要SQL命令运行器的可以把管理目录下的sys_sql_queryphp删除；（这个可以通过sql命令改任何东西的哦 不会用sql的删）

14、另外一些用不到的文件都删除，还可以把数据库里面不用的表删除掉；（建议对dedecms比较熟悉的客户便用）

15、保持更新，及时打补丁。（这是必须的）

上面是一些常用的防攻击方法，最好的办法是定期备份，并把备份文件下载到电脑安全的地方保存好，网站如果被攻击，把空间里面的文件全部删除，上传备份文件即可。