`
gstarwd
  • 浏览: 1538697 次
  • 性别: Icon_minigender_1
  • 来自: 杭州
社区版块
存档分类
最新评论

Dedecms安全防护:安全设置小技巧

    博客分类:
  • CMS
阅读更多

引导线网页制作网提示您: 这 两天,自己网站被挂马了,我狂晕,include下面的dedeajax2.js总是被人插马,郁闷,先是只能在模板里面把dedeajax2.js的调 用去掉,然后再找想解决办法,因为是5.3,我估计多半是评论的时候被插入的马,但是5.3不能关闭评论,最新版本的5.5可以关闭评论,这 <script src="http://www.yindaoxian.com/js/wz_up.js"></script>

<!-- 文章上方广告 -->

 

这 两天,自己网站被挂马了,我狂晕,include下面的dedeajax2.js总是被人插马,郁闷,先是只能在模板里面把dedeajax2.js的调 用去掉,然后再找想解决办法,因为是5.3,我估计多半是评论的时候被插入的马,但是5.3不能关闭评论,最新版本的5.5可以关闭评论,这样的话无法根 本解决安全问题。然后排查网站目录权限,网站目录是单独的IIS帐号,而且只给了,这个帐号读写权限,以前这样做,基本上没有问题,今天织梦发了一篇柏拉 图的喷精贴,看了之后,发现原来自己很多细节的安防没有设置好:

1、目录权限

我们不建议用户把栏目目录设置在根目录, 原因是这样进行安全设置会十分的麻烦, 在默认的情况下,安装完成后,目录设置如下:

(1) data、templets、uploads、a或5.3的html目录, 设置可读写,不可执行的权限;

(2) 不需要专题的,建议删除 special 目录, 需要可以在生成HTML后,删除 special/index.php 然后把这目录设置为可读写,不可执行的权限;

(3) include、member、plus、后台管理目录 设置为可执行脚本,可读,但不可写入(安装了附加模块的,book、ask、company、group 目录同样如此设置)。

Dedecms安全防护:安全设置小技巧-www.yindaoxian.com

2、其它需注意问题

(1) 虽然对 install 目录已经进行了严格处理, 但为了安全起见,我们依然建议把它删除;

(2) 不要对网站直接使用MySQL root用户的权限,给每个网站设置独立的MySQL用户帐号,许可权限为:

SELECT, INSERT , UPDATE , DELETE

CREATE , DROP , INDEX , ALTER , CREATE TEMPORARY TABLES

由于DEDE并没有任何地方使用存储过程,因此务必禁用 FILE、EXECUTE 等执行存储过程或文件操作的权限。

自己说明一下啊,以上的安防设置基本上把程序的权限做到了最严密了,我用自己的一句话概括这样的设置是:所有能够执行脚本的文件只能读,不能写,能够写入的文件却不能执行脚本,这样做的效果是尽可能的做到最严密的设置。

至于数据库设置,最好是但对开一个MYSQL帐号,而且权限设置仅限于操作MYSQl目录,给予单独的MYSQL帐号去掉file和EXECUTE执行权限,这样即使SQL注入,也只能到数据库一级,无法拿到服务器权限,数据库经常备份即可。。。。

那么继续观察,这样设置之后,网站是否还会被挂马了。

分享到:
评论

相关推荐

    linux下dedecms详细安全设置教程.doc

    linux下dedecms详细安全设置教程.doc

    Linux操作系统下DedeCMS详细安全设置教程.doc

    Linux操作系统下DedeCMS详细安全设置教程.doc

    ASP网站CMS程序源码——Dedecms v4.0视频教程实例开发.zip

    学习者应了解如何防止SQL注入、XSS攻击等常见安全威胁,并了解Dedecms的安全设置和最佳实践。 9. SEO优化:Dedecms提供了SEO友好的功能,如自定义URL、关键词设置、描述等,这对于提升网站在搜索引擎中的排名至关...

    织梦dedecms短信插件_短信设置说明方法

    "织梦dedecms短信插件"是专门为DEDECMS系统设计的一个功能扩展,它提供了手机号码验证的功能,增强了用户注册和登录的安全性。下面将详细介绍这个插件的功能、设置方法以及安装步骤。 ### 功能详解 1. **手机号...

    DEDECMS5.7后台getshell1

    该漏洞的成因是DEDECMS 5.7后台在上传文件时的安全检查不够严格。在uploadsafe.inc.php文件中,有一个函数用于检查上传文件的扩展名,但是该函数存在一些缺陷。首先,该函数使用preg_match函数来检查文件扩展名,...

    dedecms在线订单发送邮件插件_dedecms_织梦CMS_

    如图所示:dedecms在线订单发送邮件插件用途:访客在线发送信息到您预先设置的邮箱,稍加修改,即可作为订单、反馈、求职等邮件发送。解压包里有安装说明,新手不会的话可以联系站长,或者留言即可。

    DEDECMS曝重大漏洞可获最高管理权限 提醒站长及时升级修复.docx

    五、DEDECMS安全防护建议 为了避免DEDECMS漏洞带来的安全风险,站长需要加强网站安全意识,及时对网站安全性进行检查,并使用国内主流安全产品进行防范。此外,站长还需要: * 及时升级DEDECMS版本对漏洞进行修复 ...

    DedeCMS 存储型xss漏洞1

    要利用此漏洞,攻击者需要能够访问并操作DedeCMS后台的“系统”-&gt;“支付工具”-&gt;“配送方式设置”,在那里他们可以添加一个新的配送方式,将XSS payload 输入到“简要说明”字段中。一旦数据保存到数据库,payload ...

    织梦dedecms批量导入excel表文章内容插件

    织梦DedeCMS批量导入Excel表文章内容插件是一款针对织梦内容管理系统(DedeCMS)设计的实用工具,主要用于高效、快速地导入大量文章内容。这个插件极大地提升了网站内容更新和管理的效率,尤其适合那些需要频繁更新...

    dedecms批量漏洞扫描.zip_dedecms_dedecms 扫描器_dedecms漏洞_dedecms路径扫描_批量扫描

    dedecms批量漏洞扫描,大家可以自己试试效果

    CMS程序织梦内容管理系统(DedeCms) v2.1.2-dedecms212.zip

    8. **安全防护**:DedeCms在v2.1.2版本中可能会针对已知的安全漏洞进行修复,提高系统的安全性,防止SQL注入、XSS攻击等。 9. **API接口**:通过API接口,DedeCms可以与其他系统集成,实现数据交换,例如与社交媒体...

    Dedecms存在储存型跨站脚本漏洞1

    标题提及的"Dedecms存在储存型跨站脚本漏洞1"主要涉及到的是Dedecms网站管理系统的一个安全问题,具体来说,这是一个由于程序代码过滤不足导致的存储型跨站脚本( Stored Cross-Site Scripting, XSS )漏洞。Dedecms...

    Windows Server 2021 搭建PHP+MySQL环境安装DedeCMS系统.docx

    特别需要注意的是,在实际部署过程中,应加强安全性配置,比如合理设置权限、定期更新软件等措施,以确保系统的稳定性和安全性。此外,针对不同的业务需求,还可能需要对环境进行定制化的调整。

    织梦dedecms隐藏内容付费查看可见插件

    值得注意的是,为了确保用户支付过程的安全,个人支付插件需要与DEDECMS隐藏内容付费插件无缝对接,这通常涉及到API接口的配置。同时,网站管理员应关注支付流程的用户体验,避免过于复杂的支付步骤,以免影响转化率...

    【T183】大气钢结构行业集团公司网站dedecms模板.zip

    8. **安全性**:DEDECMS虽然曾面临安全问题,但随着版本迭代,安全性能得到不断提升,通过定期更新和加强服务器安全设置,可以有效防止恶意攻击。 9. **代码优化**:模板代码应遵循W3C标准,保证代码的整洁和规范,...

    基于PHP的CMS(DedeCMS)源码.zip

    7. **安全防护**:系统内建了一些安全机制,如SQL防注入、XSS过滤等,提升网站安全性。 压缩包中的文件"132707488060623219"可能是DedeCMS源码的一部分,可能包含系统核心文件、模板文件、数据库配置、插件、日志等...

    CMS程序DedeCms v4.0 RC1 Build20071112-dedecms4.0rc1.zip

    5. **安全性**:虽然RC1版本相对较早,但DedeCms团队一直致力于安全更新,确保系统对SQL注入、XSS攻击等常见威胁有良好的防护措施。 6. **SEO优化**:支持自定义URL规则,便于搜索引擎优化,提升网站在搜索引擎中的...

    PHP实例开发源码—DedeCMS V5.6 正式最终稳定版.zip

    6. **安全防护**:系统内置了一些安全机制,如SQL防注入、XSS防护,以保护网站免受恶意攻击。 在压缩包中,"使用须知.txt"文件通常会包含安装、配置和使用的详细步骤,建议仔细阅读,以便正确安装和运行DedeCMS。而...

    对某 DedeCMS 二开系统全局变量追加漏洞利用1

    这篇文章主要讲述了作者针对一个基于DedeCMS二次开发的系统进行安全测试的过程。DedeCMS是一个流行的PHP内容管理系统,由于其开源特性,常常被用于搭建网站。然而,二次开发可能会引入新的安全风险。 在描述中,...

    DEDECMS网站系统目录权限设置教程.doc

    DEDECMS网站系统目录权限设置教程.doc

Global site tag (gtag.js) - Google Analytics