最新织梦DEDE漏洞之安全设置,有效防护木马（更新至20190920）

高端网站建设模板 IT互联网企业网站建设

高端大气网络公司软件开发公司网站Ded

厦门网站建设公司Dede模板（带手机模板）

微信群控,抖音群控,QQ群控,手机群控系统

响应式服装广告设计类网站建设模板摄影

大型作文网站DEDE模板下载（免费模板）

大型太平洋亲子网DEDE模板下载（免费模板

大型教育行业织梦scms免费模板下载（免费

文章站免费Dede模板下载（免费模板）下载

漂亮大气蓝色网络设计公司整站程序

大气节能灯企业DEDE模板下载（免费模板）

非常大气网络公司工作室Dede模板下载（免

最新织梦cms漏洞之安全设置,有效防护木马（更新至20190402）

织梦DEDE在安装完成后，新人总是会直接开始开发用，忽略了一些安全优化的操作，如此会致使后期整个系统安全系数减少，被黑或者被注入的概率极高，毕竟这世界100%存在着极多的无聊hacker对全网的网站进行扫描，扫到你这个菜站，特别是用率极高的织梦CMS，对你的站点下手的欲望更高，所以在开发前做好安全防范还是非常有必要的！

安全设置前：备份网站文件及数据库

系统安全优化设置之前，做好备份工作。网站备份是网站维护需要一定要学基础。

安全设置1、删文件

安装完成后会有一些文件，可以说是冗余文件，完全没用途，反而带来被黑的危险，删除即可，以下目录文件均可删除：

目录删除缘由/install安装后的余留文件，没用，整个文件夹删除/member会员功能文件，大数企业站没用，文件夹删除，若需要会员功能的就不可以删/special专题功能，假如你无需这个功能，文件夹删除，需要就别删，大多数是无需的/tags.phpTAG标签，没此功能可删除网站后台目录dede要删除的文件删除缘由/dede/tpl.php文件上传管理软件文件，易被挂马，强烈建议删除或者不需要时请改名（tpl备用.php）/dede/templets_*.php模板管理功能，老手建议删除，用FTP管理/dede/media_*.php附件数据管理功能文件，易被挂马，删除/dede/file_*.php文件式管理器功能控制器文件，易被挂马，删除/dede/mytag_*.php、mytag_tag_*.php自概念标记管理，易被上传一句话木马/dede/story_*.php小说功能，可删除/dede/erraddsave.php纠错功能，可删除/dede/feedback_*.php评论管理，可删除/dede/group_*.php圈子功能，极少用到，可删除/dede/co_*.php采集控制文件，可删除/dede/cards_*.php点卡功能功能，可删除/dede/ad_*.php广告管理添加/删除文件，企业站通常不需要可删除/dede/spec_*.php专题管理，没专题页面，可删除/dede/vote_*.php投票功能，可删除/dede/sys_sql_query.phpSQL命令运行器，无需的话可以改名为（sys_sql_query安全禁用.php）也可以删除

目录/plus要删除的文件删除缘由五个文件与img文件夹，其他全部删除)/plus/guestbook留言簿模块，整体删除，容易SQL注入及垃圾留言，/plus/task和task.php计划任务控制文件，文件夹和文件都删除/plus/bookfeedback.php、bookfeedback_js.php图书评论和评论调用文件，存在注入漏洞，不安全/plus/bshare.php推荐插件/plus/ad_js.php广告插件，新闻资讯站用到的，请不要删除/plus/car.php、posttocar.php、carbuyaction.php购物车/plus/comments_frame.php调用评论，存在安全漏洞/plus/digg_ajax.php、digg_frame.php顶踩/plus/download.php、disdls.php下载和次数统计/plus/erraddsave.php纠错/plus/feedback.php、feedback_ajax.php、feedback_js.php评论/plus/stow.php内容珍藏/plus/vote.php投票

安全设置2、后台目录及账号密码修改

①网站后台文件改名：默认后台目录是/dede，需要将这个文件夹的名字修改，譬如改为WangZhan123@+，那样后台登陆地址就由www.xxx.com/dede变为www.xxx.com/WangZhan123@+，

②后台登录密码请不要用admin。

安全设置3、目录权限设置

①有条件的用户把中data、templets、uploads、a（可删）、special（可删）、images、install（装后删）目录设置为不允许实行脚本，include、plus、dede目录禁止写入，系统将更安全；

②权限设置通常通过主机控制面板，譬如阿里云的文件和目录权限设置、西部数码的文件保护等等。

③老版本若登录后台提示验证码错误，选中/data目录，将权限设置为完全控制（可读可写）权限

最新织梦cms漏洞之安全设置,有效防护木马（更新至20190920）

安全设置4、主机安全防护

主机安全防护只针对独立服务器或者VPS。

WIN服务器：可以安装安全狗、『D盾_防火墙』

LINUX服务器：网站防窜改程序、宝塔系统加固；

安全设置5、任意文件上传漏洞

①、漏洞文件① /include/dialog/select_soft_post.php

$fullfilename = $cfg_basedir.$activepath.'/'.$filename;修改为if [^a-zA-Z0-9]+$#i', trim)) {ShowMsg;exit;}$fullfilename = $cfg_basedir.$activepath.'/'.$filename;

②、漏洞文件 /dede/media_add.php

这是后台文件任意上传漏洞

$fullfilename = $cfg_basedir.$filename;修改为if [^a-zA-Z0-9]+$#i', trim)) { ShowMsg; exit;   } $fullfilename = $cfg_basedir.$filename;

③、漏洞文件 /include/uploadsafe.inc.php

$image_dd = @getimagesize;修改为$image_dd = @getimagesize; if{ continue; }

${$_key.'_size'} = @filesize;}修改为${$_key.'_size'} = @filesize;}$imtypes = array; if), $imtypes)) { $image_dd = @getimagesize; if{ continue; } if ) { exit;} }

安全设置6、SQL注入漏洞

①、漏洞文件 /include/filter.inc.php

return $svar;修改为return addslashes;

②、漏洞文件 /plus/search.php

$keyword = addslashes);修改为$typeid = intval; $keyword = addslashes);

③、漏洞文件 /member/mtypes.php

$query = "UPDATE `dede_mtypes` SET mtypename='$name' WHERE mtypeid='$id' AND mid='$cfg_ml->M_ID'";修改为$id = intval; $query = "UPDATE `dede_mtypes` SET mtypename='$name' WHERE mtypeid='$id' AND mid='$cfg_ml->M_ID'";

④、漏洞文件 /member/pm.php文件

$row = $dsql->GetOne");修改为$id = intval; $row = $dsql->GetOne");

⑤、漏洞文件 /plus/guestbook/edit.inc.php

$dsql->ExecuteNoneQuery."' WHERE id='$id' ");修改为$msg = addslashes; $dsql->ExecuteNoneQuery."' WHERE id='$id' ");;

⑥、漏洞文件 /member/soft_add.php

$urls .= "{dede:link islocal='1' text='{$servermsg1}'} $softurl1 {/dede:link}";修改为     if {/dede:link}{dede:#sim", $servermsg1) != 1) { $urls .= "{dede:link islocal='1' text='{$servermsg1}'} $softurl1 {/dede:link}"; }

⑦、漏洞文件 /member/article_add.php

if  || $dede_fieldshash != md5)修改为if  ||  && $dede_fieldshash != md5))

⑧、漏洞文件 /member/album_add.php

$description = HtmlReplace;//2011.06.30 增加html过滤 （by:DEDE的鱼）修改为$description = HtmlReplace;//2011.06.30 增加html过滤 （by:DEDE的鱼）$mtypesid = intval;

⑨、漏洞文件 /member/inc/inc_archives_functions.php

echo "<input type="hidden" name="dede_fieldshash" value="".md5."" />";修改为echo "<input type="hidden" name="dede_fieldshash" value="". md5 ."" />";

⑩、漏洞文件 /include/common.inc.php

if>0 && preg_match#',$svar) )修改为if>0 && preg_match#',$svar) )

⑪、漏洞文件 /include/payment/alipay.php

$order_sn = trim;修改为$order_sn = trim);

⑫、漏洞文件 /include/dedesql.class.php

if)修改为$arrs1 = array; $arrs2 = array; if)

⑬、漏洞文件 /member/inc/archives_check_edit.php ，发表文章处，对于编辑文章的时候图片参数处置不当，致使了任意文件删除)

$litpic =$oldlitpic;修改为$litpic =$oldlitpic; if  !== false || strpos === false) exit;

安全设置5、无用文件中的风险代码删除

① dede empletslogin_ad.htm（这是DEDE默认后台登陆界面的广告代码，没用，删除以下这段代码）

<!--<script type="text/javascript" src="<?php echo UPDATEHOST;?>/织梦CMS/loginad.<?php echo $cfg_soft_lang; ?>.js"></script>--><div class="dede-ad">  <ul>    <script type="text/javascript"src="http://ad.织梦CMS.com/adsview/?action=single&key=admcploginad&charset=gbk"></script>  </ul></div>

② dede empletsindex_body.htm（DEDE的后台首页模板文件，删除以下这段广告代码）

<iframe name="showad" src="index_body.php?dopost=showad" frameborder="0" width="100%" id="showad" frameborder="0" scrolling="no"  marginheight="5"></iframe>

③ dedemodule_main.php（向DEDE官方网站发送卸载或安装插件的信息，若服务器配置不高，或不支持采集（下载），那会卡死！注释掉以下代码）

SendData;//321行SendData;//527行

④ include agliblink.lib.php（DEDE官方友链上传的代码，没用，删除，不然占用性能，甚至卡死）

else if{}//将{}里的与上面的else全部删除

⑤ includededemodule.class.php（版本测试代码，30分钟一次，要扫描文件的！为何管理模块打不开是什么原因就在这里，网站配置低的，卡死！）

if &&  + 60 * 30) > time)修改为if && filesize > 10)

⑥ includededesql.class.php（下面这段代码会给网站加友情链接及版权"Power by 织梦CMS"，删除）

$arrs1 = array;$arrs2 = array;//特殊操作$arrs1 = array; $arrs2 = array; if){    $v1 = $v2 = '';    for;$i++)    {        $v1 .= chr;    }    for;$i++)    {        $v2 .= chr;    }    $GLOBALS[$v1] .= $v2;}

⑦ includecommon.func.php

$arrs1 = array;$arrs2 = array;

安全设置6、借助伪静态功能禁止以下目录运行php脚本

① linux主机的用户通常都是apache环境，用 .htaccess 文件来设置，假如你网站根目录已经存在这个文件，那就复制一下代码添加进来。

RewriteEngine on#安全设置 禁止以下目录运行指定php脚本RewriteCond % !^$RewriteRule a/.$ – [F]RewriteRule data/.$ – [F]RewriteRule templets/.$ – [F]RewriteRule uploads/.$ – [F]

②：windows主机的用户通常都是iis7、iis8环境，用 web.config 文件来设置，请确认你的主机已经开启了伪静态而且网站根目录有 web.config 文件，有这个文件的可以复制以下代码添加到对应的rules内。

<rule name="Block data" sTOPProcessing="true">  <match url="^data/.php$" />    <conditions logicalGrouping="MatchAny">     <add input="{USER_AGENT}" pattern="data" />     <add input="{REMOTE_ADDR}" pattern="" />   </conditions>  <action type="AbortRequest" /></rule><rule name="Block templets" sTOPProcessing="true">  <match url="^templets/.php$" />     <conditions logicalGrouping="MatchAny">      <add input="{USER_AGENT}" pattern="templets" />      <add input="{REMOTE_ADDR}" pattern="" />    </conditions>  <action type="AbortRequest" /></rule><rule name="Block SomeRobot" sTOPProcessing="true">   <match url="^uploads/.php$" />      <conditions logicalGrouping="MatchAny">         <add input="{USER_AGENT}" pattern="SomeRobot" />         <add input="{REMOTE_ADDR}" pattern="" />      </conditions>    <action type="AbortRequest" /></rule>

③：Nginx下禁止指定目录运行PHP脚本

注意:这段配置文件必须要放在 location ~ .php$ 的前面才可以生效，配置完后记得重启Nginx生效。

location ~* //.$ {return 403;}

测试有没生效，可以随便创建一个PHP文件传到uploads文件夹下，实行：域名/uploads/测试文件.php 假如不可以打开说明生效。

安全常识7、容易见到木马文件

迄今为止，大家发现的恶意脚本文件有：

1：检查有无/data/cache/t.php、/data/cache/x.php和/plus/index.php这部分木马文件,有些话则立即删除

2：plus 目录木马

plus/90sec.phpplus/ac.php plus/config_s.php plus/config_bak.php plus/diy.php plus/ii.php plus/lndex.php data/cache/t.php data/cache/x.phpdata/cache/mytag-*.htmdata/config.php data/cache/config_user.php data/config_func.phpinclude/taglib/shell.lib.phpinclude/taglib/*.lib.php

大部分被上传的脚本集中在plus、data、data/cache、include这几个目录下，请仔细检查这几个目录下近期是不是有被上传异常文件。