如何防止dede织梦做的网站被黑
如何的安全设置？有效防止DEDE织梦系统被挂木马被黑客骇客如侵呢？笔者相信所有dede的网站至少有68%都被黑过，dede系统确实是好用，seo优化做得也很好，就是不安全，漏铜多。笔者是这样认为的，搞到很多站长都不敢用dede，其实dede还是可以做好安全设置，如果做好这些安全设置的话，就不要担心网站被黑了！
1、保持DEDE更新，及时打补丁。安装的时候数据库的表前缀，最好改一下，不用dedecms默认的前缀dede_,可以改成ljs_,随便一个名称即可。
2、装好DEDE后及时把install文件夹删除，后台登录开启验证码功能，将默认管理员admin删除，改成一个自己专用的，复杂点的账号，管理员密码一定要长，至少8位，而且字母与数字混合。
3、管理目录改名，最好是改成MD5形式的，最好长点。将dedecms后台管理默认目录名dede改掉。
&4、DedeCms
万能安全防护代码/read.php?tid=15538
5、如果是使用HTML可以把plus下的相应文件和根目录下的index.php做掉（用不到的全删掉，还可以把数据库里面不用的表删除掉）用不到的功能一概关闭，比如会员、评论等，如果没有必要通通在后台关闭。
6、不用留言本的可以把如：/plus下的guestbook做掉。以下一些是可以删除的目录：
member会员功能
special专题功能
company企业模块
plus\guestbook留言板
以下是可以删除的文件：
管理目录下的这些文件是后台文件管理器，属于多余功能，而且最影响安全,许多HACK都是通过它来挂马的
file_manage_control.php file_manage_main.php file_manage_view.php
media_add.php media_edit.php media_main.php
不需要SQL命令运行器的将dede/sys_sql_query.php 文件删除。
不需要tag功能请将根目录下的tag.php删除。不需要顶客请将根目录下的digg.php与diggindex.php删除。
7：不用会员的可以把member做掉，多关注dedecms官方发布的安全补丁，及时打上补丁。
8：后台的文件管理（管理目录下file_manage_xxx.php），不用的可以做掉，这个不是很安全，至少进了后台上传小马很方便。下载发布功能（管理目录下soft__xxx_xxx.php），不用的话可以删掉，这个也比较容易上传小马的.
9：下载发布功能（管理目录下soft__xxx_xxx.php），不用的话可以做掉，这个也比较容易上传小马的
10：DedeCms官网出的万能安全防护代码,登录dedecms官网论坛查看.最安全的方式：本地发布html，然后上传到空间。不包含任何动态内容，理论上最安全，不过维护相对来说比较麻烦。
11，还是得经常检查自己的网站，被挂黑链是小事，被挂木马或删程序就很惨了，运气不好的话，排名也会跟着掉。所以还得记得时常备份数据&&&&
最安全地方式：本地发布html，然后上传到空间。不包含任何动态内容，理论上最安全。
第一：挂马前的安全措失
a、改更默认管理目录dede。
b、检查install目录里是否存在install.lock文件。有用户没给install目录写权限导致安装的时候没有生成lock文件。安装完成后可整个删除intstall目录。
c、关注后台更新通知，检查是否打上最新dedeCMS补丁
d、服务器web目录权限设置
有条件的用户把DedeCms中data、templets、uploads、html、special、images、install目录设置为不允许执行脚本，其它目录禁止写入，系统将更安全。
e、建议到官方下载程序
f、服务器安全措施(以windows2003系统为例)
1、更新系统补丁到最新的，并打开自动更新
2、安装杀毒软件，更新病毒库到最新，并打开自动更新
3、打开系统自带的防火墙，开放应用中的端口，以过滤不必要的端口访问
4、打开tcp/ip安全策略，开放应用中的端口，以过滤不必要的端口访问
5、打开用户与用户组管理，添加IUSR用户对应不同WEB站点，以便分权限管理减少因一站点被黑带来的权限危机
6、针对不同的WEB目录设置不同的权限
例：WebSiteA目录对应权限一般为system/administrators完全权限　IUSR_websiteA只读权限
WebsiteA下面的子目录根据DedeCMS程序的需求分配IUSR_websiteA的写入运行权限，详见上面b点目录权限说明
7、不要在服务器上安装不明来路的软件
8、不要在服务器上安装什么破解版汉化版软件，如果实在需要建议用原版
9、建议不要安装ServU FTP软件，换用其它的FTP软件，更改FTP端口，用户密码不要太简单
10、如果不需要请尽量关闭服务应用的远程访问功能，如mysql user的远程访问
11、针对上面一点，可以运用本地安全策略功能，设置允许访问IP。
12、运用本地安全策略，还可以有效拒绝CC攻击，过滤来源IP的访问。
13、服务器上各项服务应用注意及时更新补丁，如mssql切记打补丁，而且要使用正版的，没条件的也要使用正规的复制版本
14、服务器上的各项应用如IIS配置mysql配置，请搜索百度谷歌这方面的安全应用的专题，加强内功是很重要的。
15、开启IIS的访问日志记录
&第二：挂马后的安全检查
必要时关闭网站进入一步步排查
a、进DedeCMS管理后台检查是否有新补丁或安全提醒没有及时更新。
b、检查源文件中是否有相应木马病毒代码，以确认是否为ARP攻击
ARP攻击表现：程序文件毫无异动，攻击是采用欺骗目标网关以达到欺骗用户端的效果，实现用户端访问网站加载木马的目的。
ARP攻击防范：对服务器加装防ARP攻击类的软件及其它应对措施，或联系您的IDC服务商。
c、检查目录权限，详见第一大点里的安全措施。
d、检查FTP里的每一个目录，查找最近被修改过的可疑文件。
1、用记事本等类工具打开查找，如果是真被挂马，这里分析下都能找到。
2、如果是整站被挂，请着重先检查下整站调用的js文件。
3、从文件中找出被挂的代码，复制代码的关键语句部分，打开替换类软件批量替或批量找吧。
4、上面一步需要有服务器控制权限，没有的话只能下载回来批了。(这是谨慎的办法，如果你有把握那可以只检查部分文件或目录)
e、上面还是解决不了，那得分析IISLOG日志，追根朔源查找入侵点。
　你可以下载IISlog分析类软件研究。
第三：如何向官方求助或报告安全问题？
1、查看木马、可疑文件的修改时间
2、查看站点系统日志，对照第1点所获得的时间，找出挂马的方式。
3、请先认真阅读理解一二大点，确认仍无法解决的，请论坛PM官方技术支持。
总之吧，防患于未然是最好的也是最容易处理的，比等你的被黑客
骇客们攻击了黑进了篡改了之后再去删除再去恢复要轻松得多。
已投稿到：
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。织梦模板建站、织梦仿站，推荐选跟版网(专业织梦模板定制下载站)，您可以把织梦模板网：
跟版网(www.genban.org)是专业的DEDECMS模板下载和定制开发服务商！
织梦dedcms网站后台免登录代码修改
& &以下内容您可能感兴趣： &
因为一些原因需要自动采集数据或是自动登录，就如使用火车头自动采集文章发布到dede网站中，一时是可以发布，但是很多时候却发现过一段时间后dede又登录失败了显示未知发布，那么这时dede后台怎么才能永久自动登录呢，本文就说一下作者这里有关dede免登录代码修改及原理，只适用于部分网站，有些可能用不了，但是大家可以明白我的思路，自己再修改即可，本文只适用于个人站长。
网站后台永久自动登录代码思路
每次访问到网站后台时，先判断IP地址，如作者自己使用的是固定IP，如8.8.8.8，那么就先判断客户端IP是否为8.8.8.8，如果是8.8.8.8就自动使用dede的用户登录，成功登录并记录session即可。
当然如果说你是动态IP，也可心在每次访问栏目时加一个&字符串，在后台判断一下字符串是否为自己传过来的，如果是就直接登录即可。
以上思路适用于所有后台程序，不管是帝国还是dede或是其他cms系统均可。
dede后台永久自动登录代码
第1步：使用ftp下载dede后台中的config.php文件。
第2步：在文件中搜索&if($cuserLogin-&getUserID()==-1)&此项，并在下面添加以下代码并保存。
第3步：保存后并上传到网站覆盖原代码，然后我们直接访问到网站后台即可直接进入登录状态。
电脑维修技术网注：如果没有进入登录状态，请把//echo $ip.&~~~~~~~~~~~~~~~~~~~~~~~~~~~&;注销解除，查看一下当前ip地址是多少。
跟版网-专业织梦模板下载平台，转载请注明出处：
& &精心为您推荐： &
& &邀您关注： &
扫描左侧二维码即可在手机端访问此页面
扫描左侧二维码即可关注跟版网官方微信公众号，获取金币模板，还可以免费仿站哦！
扫描左侧二维码即可加入跟版网官方群，免费获取金币资源并可以与其他织梦高手共同交流学习
跟版网率先实现织梦的三网合一网站，从即日起（）日，跟版网会陆续免费分享一批金币资源给需要的朋友，关注本站认证官方微信公众账号并回复相应的提取码，系统会自动将下载地址发送给您，同时这些金币资源也会分享在官方的QQ群中，欢迎各位朋友踊跃加入。另外本站后期会每周选择大家比较喜欢的网站仿制，并免费分享给大家，还有免费送金币活动哦！
- dede模板分享
售价:10金币
- dede源码分享
售价:40金币
- dede源码分享
售价:40金币
- dede源码分享
售价:20金币
- dede源码分享
售价:12金币
& & & 跟版网竭力打造中国最大的织梦源码和织梦模板商城，我们有一批经验丰富的设计师和程序员，发展五年，跟版网拥有丰富的织梦模板，欢迎您的咨询，我们将竭诚为您提供最优质的服务。
& & & 跟版网织梦源码商城坚持“创意+品质+服务”的高端理念，运用创意设计的理念为您塑造高品质的网络品牌形象。凭借五年的探索和实践，跟版网织梦源码商城拥有一支经验丰富、技术精湛、尽职尽责的网络服务团队。精品网站建设，从跟版网织梦源码商城建站开始。
& & & 跟版网织梦源码和模板可分为两种形式获得，一种是官方源码，另外一种是会员共享源码。两种源码都分为免费和收费两种形式。
& & & 跟版网官方收费源码可通过支付费用获得，具体操作流程可查看网址：。会员共享源码可通过共享模板获取金币下载。如觉得麻烦，可以联系客服QQ：进行金币充值，充值后可随意下载。织梦dede权限设置&防止网站入侵
1、目录权限
我们不建议用户把栏目目录设置在根目录， 原因是这样进行安全设置会十分的麻烦， 在默认的情况下，安装完成后，目录设置如下：
(1) data、templets、uploads、a或5.3的html目录， 设置可读写，不可执行的权限；
(2) 不需要专题的，建议删除 special 目录， 需要可以在生成HTML后，删除 special/index.php
然后把这目录设置为可读写，不可执行的权限；
(3) include、member、plus、后台管理目录
设置为可执行脚本，可读，但不可写入（安装了附加模块的，book、ask、company、group
目录同样如此设置）。&2、其它需注意问题
(1) 虽然对 install 目录已经进行了严格处理， 但为了安全起见，我们依然建议把它删除；
(2) 不要对网站直接使用MySQL root用户的权限，给每个网站设置独立的MySQL用户帐号，许可权限为：
SELECT, INSERT , UPDATE , DELETE
CREATE , DROP , INDEX , ALTER , CREATE TEMPORARY TABLES
由于Dede并没有任何地方使用存储过程，因此务必禁用 FILE、EXECUTE
等执行存储过程或文件操作的权限。&3、如何设置目录的权限？
对于会用 Linux 的用户，相信大多数都已经懂得这些东西，IIS用户，请看下图：
(1) 设置目录为只读
图-1：复制权限、设置为只读<img src="/blog7style/images/common/sg_trans.gif" real_src ="/it1it/pic/item/bec54e744e7f8a7bacb.jpg" HEIGHT="384" WIDTH="540"
ALT="织梦dede权限设置&防止网站入侵"
TITLE="织梦dede权限设置&防止网站入侵" />&
图-2：设置为只读<img STYLE="width: 479 height: 435" src="/blog7style/images/common/sg_trans.gif" real_src ="/it1it/pic/item/e9409cec54e736d15c186eb19b504fc2d46269cb.jpg" HEIGHT="480" WIDTH="481"
ALT="织梦dede权限设置&防止网站入侵"
TITLE="织梦dede权限设置&防止网站入侵" />
图-3：设置不允许执行脚本<img STYLE="width: 558 height: 427" src="/blog7style/images/common/sg_trans.gif" real_src ="/it1it/pic/item/d698c07f9e2fb9e924b899a901f23b.jpg" HEIGHT="430" WIDTH="560"
ALT="织梦dede权限设置&防止网站入侵"
TITLE="织梦dede权限设置&防止网站入侵" />&此外还需要注意问题是，不管IIS还是Apache都不要把.php和.inc文件加入mime中，这样系统会禁止下载这些文件。
不过仅进行上面的设置还是不行，服务器安全设置更重要，如果经常被挂马可以找我们解决，杜绝挂马。
一、挂马前的安全措失
A、改更默认管理目录dede。
B、检查install目录里是否存在install.lock文件。有用户没给install目录写权限导致安装的时候没有生成lock文件。安装完成后可整个删除intstall目录。
C、关注后台更新通知，检查是否打上最新dedeCMS补丁
D、服务器web目录权限设置
有条件的用户把DedeCms中
data、templets、uploads、html、special、images、install目录设置为不允许执行脚本，其它目录禁止写入，系统将更安全。
&不需要专题的，建议删除 special 目录， 需要可以在生成HTML后，删除
special/index.php 然后把这目录设置为可读写，不可执行的权限；
&include、member、plus、后台管理目录设置为可执行脚本，可读，但不可写入（安装了附加模块的，book、ask、company、group
目录同样如此设置）。
E、建议到官方下载程序
F、服务器安全措施(以windows2003系统为例)
1、更新系统补丁到最新的，并打开自动更新
2、安装杀毒软件，更新病毒库到最新，并打开自动更新
3、打开系统自带的防火墙，开放应用中的端口，以过滤不必要的端口访问
4、打开tcp/ip安全策略，开放应用中的端口，以过滤不必要的端口访问
5、打开用户与用户组管理，添加IUSR用户对应不同WEB站点，以便分权限管理减少因一站点被黑带来的权限危机
6、针对不同的WEB目录设置不同的权限
例：WebSiteA目录对应权限一般为system/administrators完全权限　IUSR_websiteA只读权限
　　WebsiteA下面的子目录根据DedeCMS程序的需求分配IUSR_websiteA的写入运行权限，详见上面b点目录权限说明
7、不要在服务器上安装不明来路的软件
8、不要在服务器上安装什么破解版汉化版软件，如果实在需要建议用原版
9、建议不要安装ServU
FTP软件，换用其它的FTP软件，更改FTP端口，用户密码不要太简单
10、如果不需要请尽量关闭服务应用的远程访问功能，如mysql user的远程访问
11、针对上面一点，可以运用本地安全策略功能，设置允许访问IP。
12、运用本地安全策略，还可以有效拒绝CC攻击，过滤来源IP的访问。
13、服务器上各项服务应用注意及时更新补丁，如mssql切记打补丁，而且要使用正版的，没条件的也要使用正规的复制版本
14、服务器上的各项应用如IIS配置mysql配置，请搜索百度谷歌这方面的安全应用的专题，加强内功是很重要的。
15、开启IIS的访问日志记录
二、挂马后的安全检查
必要时关闭网站进入一步步排查
A、进DedeCMS管理后台检查是否有新补丁或安全提醒没有及时更新。
B、检查源文件中是否有相应木马病毒代码，以确认是否为ARP攻击
1、ARP攻击表现：程序文件毫无异动，攻击是采用欺骗目标网关以达到欺骗用户端的效果，实现用户端访问网站加载木马的目的。
2、ARP攻击防范：对服务器加装防ARP攻击类的软件及其它应对措施，或联系您的IDC服务商。
C、检查目录权限，详见第一大点里的安全措施。
D、检查FTP里的每一个目录，查找最近被修改过的可疑文件。
1、用记事本等类工具打开查找，如果是真被挂马，这里分析下都能找到。
2、如果是整站被挂，请着重先检查下整站调用的js文件。
3、从文件中找出被挂的代码，复制代码的关键语句部分，打开替换类软件批量替或批量找吧。
4、上面一步需要有服务器控制权限，没有的话只能下载回来批了。(这是谨慎的办法，如果你有把握那可以只检查部分文件或目录)
E、上面还是解决不了，那得分析IISLOG日志，追根朔源查找入侵点。你可以下载IISlog分析类软件研究。
三、如何向官方求助或报告安全问题？
1、查看木马、可疑文件的修改时间
2、查看站点系统日志，对照第1点所获得的时间，找出挂马的方式。
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。无忧主机教你Dedecms如何禁止指定IP访问 | 无忧主机
自始至终，以提供稳定、高性能的美国、香港免备案php虚拟主机产品为己任，以用户极高满意为生存价值，以产品的可靠性为生命线，以网络零中断为终身奋斗目标
很多php开源系统里面，都有一个非常好用的功能，只可以指定禁止一些异常的IP地址访问网站，然后在dedecms系统中没有这个功能。如果我们发现异常IP，对网站进行不法侵害时，我们该怎么办？就看着，不闻不问吗？如教程标题所示，无忧主机（）今天的教程就要解决这个问题。
本教程中介绍的方法仅适用于纯linux系统下的，且支持.htaccess的主机。
文本方法很简单，是利用.htaccess文件，编写正则表示来禁止ip访问htaccess文件的 功能除了可以帮助我们实现网站url重写外，还可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。今天就是我们利用.htaccess来禁止指定IP访问。
操作方法如下：
1、在dedecms目录下，新建.htaccess文件
2、在.htaccess规则中，加入如下代码即可实现目的：
禁止一个IP地址：如：192.168.1.1
order Deny,Allow
deny from 192.168.1.1
禁止一个IP地址段：
order Deny,Allow
deny from 192.168.1-192.168.1.254
只要这个.htaccess中含有这段代码就可以帮我们实现禁止IP的功能。
无忧主机 提供美国/香港 纯Linux环境下高端免备案，仅仅只需99元一年起。
本文地址：/dedecms/1861.html
喜欢本文或觉得本文对您有帮助，请分享给您的朋友 ^_^
无忧主机资质：（十三年旗舰品牌）
相关技术帮助文档
技术帮助文档分类}