最新消息:

济南网站建设教程织梦安全策略目录安全设置_织梦被挂马

网站建设 邹胜科 830浏览 0评论

         济南网站建设教程织梦安全策略目录安全设置

       星期三2015年11月4日 11:38:05 很多济南网站建设公司在建设低成本企业网站的时候,往往会选择用织梦dedecms来制作,成本低,速度快,但是济南seo博主觉得,织梦的安全问题一直都让广大站长们头疼,其实织梦dedecms是一个利器,就看你会不会好好利用它了。

1、目录权限
我们不建议用户把栏目目录设置在根目录,原因是这样进行安全设置会十分的麻烦,在默认的情况下,安装完成后,目录设置如下:
(1) data、templets、uploads、a或5.3的html目录,设置可读写,不可执行的权限;
(2) 不需要专题的,建议删除special 目录,需要可以在生成HTML后,删除special/index.php 然后把这目录设置为可读写,不可执行的权限;
(3) include、member、plus、后台管理目录设置为可执行脚本,可读,但不可写入(安装了附加模块的,book、ask、company、group 目录同样如此设置)。2、其它需注意问题
(1) 虽然对install 目录已经进行了严格处理,但为了安全起见,我们依然建议把它删除;
(2) 不要对网站直接使用MySQL root用户的权限,给每个网站设置独立的MySQL用户帐号,许可权限为:
SELECT, INSERT , UPDATE , DELETE
CREATE , DROP , INDEX , ALTER , CREATE TEMPORARY TABLES
由于dede并没有任何地方使用存储过程,因此务必禁用FILE、EXECUTE 等执行存储过程或文件操作的权限。

3、如何设置目录的权限?
对于会用Linux 的用户,相信大多数都已经懂得这些东西,IIS用户,请看下图:

3.1设置目录为只读权限
首先复制下权限

设置目录为只读权限

3.2设置目录不允许执行脚本

此外还需要注意问题是,不管IIS还是Apache都不要把.php和.inc文件加入mime中,这样系统会禁止下载这些文件。

4、Apache站点安全设置
如果是Windows2003下,可以对Apache进行如下操作:
4.1在计算机管理里的本地用户和组里面创建一个帐户,例如:DedeApache,密码设置为DedeApachePWD,加入guests组(如果出现问题,可以赋予user权限);

4. 2 打开开始->管理工具->本地安全策略,在“用户权限分配”中选择“作为服务登陆”,添加DedeApache用户;

4.3.计算机管理里面选择服务,找到apache2.2,先停止服务,右击->属性,选择登陆,把单选框从本地系统帐户切换到此帐户,然后查找选择DedeApache,输入密码DedeApachePWD,然后点确定(这个时候apache还不能正常启动,一般情况肯定会报错:Apache2.2 服务因1 (0x1) 服务性错误而停止。);

4.4.赋予apache安装目录(比如:D:/apache2.2)以及web目录(比如D:/wwwroot)DedeApache帐号的可读写权限,去除各磁盘根目录除administror与system以外的所有权限,赋予DedeApache安装目录所在的磁盘根目录apache帐户的可读取列目录权限

我们在站点配置中可以添加如下内容:

复制代码

代码如下:

<Directory “D:\dedecms\www\uploads”>
<FilesMatch “.php”>
Order Allow,Deny
Deny from all
</FilesMatch>
</Directory>
<Directory “D:\dedecms\www\data”>
<FilesMatch “.php”>
Order Allow,Deny
Deny from all
</FilesMatch>
</Directory>
<Directory “D:\dedecms\www\templets”>
<FilesMatch “.php”>
Order Allow,Deny
Deny from all
</FilesMatch>
</Directory>
<Directory “D:\dedecms\www\a”>
<FilesMatch “.php”>
Order Allow,Deny
Deny from all
</FilesMatch>
</Directory>

这里对应就取消了对应目录的脚本执行权限。

5、data目录路径更改
另外在DedeCMS V5.7中用户也可以设定data目录到上一级非web访问目录,基本操作如下:
5.1.将data目录移动到上一级目录中,这里直接剪切过去就可以了;
5.2.配置include/common.inc.php中DEDEDATA文件

define(‘DEDEDATA’, DEDEROOT.’/data’);

可以改成类如:

define(‘DEDEDATA’, DEDEROOT.’/../../data’);
5. 3.后台设置模板缓存路径

      附上官方提供的安全策略文件夹目录设置

/ 【站点上级目录】

假如要使用后台的目录相关的功能需求有列出目录的权限 //0444

/ 【站点根目录】

需求执行和读取权限 假如要在根目录下面创建文件和目录的话需求有写入权限 //0755

/install 【安装程序目录】

需求有执行和读取权限 //建议安装完成以后删除或者改名 //0555

/dede 【后台程序目录】

需求有执行权限和读取权限 //建议安装完成以后修正目录名称 //0755

/include 【主程序目录】

需求有写入、执行权限和读取权限 //0755 //建议在第一次安装后,去掉写入权限以及修正权限(需求重写配置文件时再暂时开启写入及修正权限)//0555

/member 【会员目录】

需求执行读取和权限 //建议去掉写入权限以及修正权限//0555

/plus 【插件目录】

需求有读取、写入和执行的权限 //建议在生成完站点地图和RSS文件后去掉写入权限以及修正权限 //0755

/data 【站点缓存数据等文件】

需求有读取权限和写入修正权限 //建议去掉执行权限//0666

/html 【HTML文档默认目录】

需求有读取修正和创建权限 //建议去掉执行权限 //0666

/templets【模板目录】

需求有读取 修正写入 权限 //建议去掉执行权限 //0666

/uploads 【附件目录】

需求写入读取权限 //建议去掉执行权限//0666

/company 【企业黄页程序目录】

需求读取和执行权限 //建议去掉写入权限//0555

/special 【专题文件目录】

需求执行、读取、写入和修正权限 //0755

/book 【书库模块程序目录】

需求执行、读取、写入和修正权限 //0755

/ask 【问答模块程序目录】

需求执行和读取权限 //建议去掉写入权限//0555

/group 【圈子模块程序目录】

需求执行和读取权限 //建议去掉写入权限 //0555
1、a  因为是静态目录,并且在要生成HTML的,所以拒绝脚本执行  允许写入
2、data   因为是缓存等,所以充许写入,但是因为这里面的文件引入到其它地方进行使用,所以要拒绝脚本执行
3、dede  后台管理目录,并且这个一般情况下不需要修改,所以允许脚本执行,拒绝写入
4、images   仅是存系统图片, 所以拒绝脚本执行,拒绝写入
5、include  虽然这个目录有系统库,一般情况下也是引入到其它地方使用,但是也有一些文件需要执行,比如验证码,但是一般不需要修改。所以允许脚本执行,拒绝写入
6、install  这个目录在系统安全完之后,直接delete。 系统部署之后,这个文件夹就没有用了
7、member  如果不使用会员系统,这个目录夹也可以直接删除。
8、plus  这个插件目录,不需要修改的,允许脚本执行,拒绝写入
9、special   这个专题文件夹,一般我们会改名。与a目录一样,拒绝脚本执行,允许写入
10、templets 这相模板目录,拒绝执行,拒绝写入。heike主要想改的就是它,所以一定要写入,虽然拒绝写入之后,比较麻烦,如果修改模板,要先允许写入,再修改再去拒绝写入,但是不要嫌麻烦,毕竟为了安全嘛。
11,uploads  上传目录,不用说必须拒绝脚本,允许写入,一个不小心,heike就给你上传个木马上来了,。
除此之外,还有一些需要做的,就是修改后台dede的目录名,减少一个风险,还有就是将data目录根目录之外,这也是官方要求做的,但是不得不说,这会带来很多问题,比如访问根目录下面的index.php会了错,三级联动也会出错。  index.php 可以通过修改代码解决,如果你不需要三级联动功能,可以移出data。
操作方法:
1、修改/include/common.inc.php  
将 define(‘DEDEDATA’, DEDEROOT.’/data’);  
改成:  define(‘DEDEDATA’, DEDEROOT.’/../data’);
2、到后台系统基本设置->性能选项 里面设置 模板缓存目录为 /../data/tplcache。

网上有很多CMS开源程序,发现很多朋友或做医院的都用到DEDECMS,之前我也使用过,不过后来被挂过几次马,就觉得DEDE也不什么好,不过做垃圾站的话,排名效果还是不错的,至少对百度的收录和排名都比较友好。任何一款开源程序都存在或多或少的漏洞,只是没被别人发现而已。自己不能开发这么强大的系统,只能拿现成的来改了。很多所谓的“黑客”都是用工具来扫描入侵,厉害点的人是不屑来黑我们的小网站的,所以我们一般做好安全防护就可以了。以下是我收集整理的内容:

第一、安装的时候数据库的表前缀,最好改一下,不用dedecms默认的前缀dede_,可以改成ljs_,随便一个名称即可。

第二、后台登录开启验证码功能,将默认管理员admin删除,改成一个自己专用的,复杂点的账号。

第三、装好程序后务必删除install目录

第四、将dedecms后台管理默认目录名dede改掉。

第五、用不到的功能一概关闭,比如会员、评论等,如果没有必要通通在后台关闭。

第六、以下一些是可以删除的目录:

member会员功能

special专题功能

company企业模块

plus\guestbook留言板

以下是可以删除的文件:

管理目录下的这些文件是后台文件管理器,属于多余功能,而且最影响安全

file_manage_control.php file_manage_main.php file_manage_view.php media_add.php media_edit.php media_main.php

不需要SQL命令运行器的将dede/sys_sql_query.php 文件删除。

不需要tag功能请将根目录下的tag.php删除。不需要顶客请将根目录下的digg.php与diggindex.php删除。

第七、多关注dedecms官方发布的安全补丁,及时打上补丁。

第八、下载发布功能(管理目录下soft__xxx_xxx.php),不用的话可以删掉,这个也比较容易上传小马的.

第九、DedeCms官网出的万能安全防护代码

为了让大家的CMS更安全,有需要的手工在config_base.php里加上
打开
config_base.php
找到

//禁止用户提交某些特殊变量
$ckvs = Array('_GET','_POST','_COOKIE','_FILES');
foreach($ckvs as $ckv){
  if(is_array($$ckv)){ 
    foreach($$ckv AS $key => $value) 
      if(eregi("^(cfg_|globals)",$key)) unset(${$ckv}[$key]);
  }
}

改为下面代码

//把get、post、cookie里的<? 替换成 <?
$ckvs = Array('_GET','_POST','_COOKIE');
foreach($ckvs as $ckv){
  if(is_array($$ckv)){ 
    foreach($$ckv AS $key => $value) 
      if(!empty($value)){
        ${$ckv}[$key] = str_replace('<'.'?','&'.'lt;'.'?',$value);
        ${$ckv}[$key] = str_replace('?'.'>','?'.'&'.'gt;',${$ckv}[$key]);
      }
      if(eregi("^cfg_|globals",$key)) unset(${$ckv}[$key]);
  }
}
//检测上传的文件中是否有PHP代码,有直接退出处理
if (is_array($_FILES)) {
foreach($_FILES AS $name => $value){
  ${$name} = $value['tmp_name'];
  $fp = @fopen(${$name},'r');
  $fstr = @fread($fp,filesize(${$name}));
  @fclose($fp);
  if($fstr!='' && ereg("<\?",$fstr)){
      echo "你上传的文件中含有危险内容,程序终止处理!";
      exit();
  }
}
}

第十、最安全的方式:本地发布html,然后上传到空间。不包含任何动态内容,理论上最安全,不过维护相对来说比较麻烦。

十一,还是得经常检查自己的网站,被挂黑链是小事,被挂木马或删程序就很惨了,运气不好的话,排名也会跟着掉。所以还得记得时常备份数据.

 

转载请注明:济南网站建设,济南网站制作,济南网站设计,济南seo,济南网站优化 » 济南网站建设教程织梦安全策略目录安全设置_织梦被挂马

发表我的评论
取消评论

表情

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址