最新织梦cms漏洞之安全设置,有效防护木马(更新至20190920)
织梦CMS在安装完成后,新人往往会直接开始开发使用,忽视了一些安全优化的操作,这样会导致后期整个系统安全系数降低,被黑或者被注入的概率极高,毕竟这世界百分百存在着极多的无聊hacker对全网的网站进行扫描,扫到你这个菜站,尤其是使用率极高的DEDECMS,对你的站点下手的欲望更高,所以在开发前做好安全防范还是很有必要的!
安全设置前:备份网站文件及数据库
系统安全优化设置之前,做好备份工作。
安全设置一:删文件
安装完成后会有一些文件,可以说是冗余文件,完全没有作用,反而带来被黑的危险,删除即可,以下目录文件均可删除:
目录 | 删除原因 |
---|---|
/install | 安装后的余留文件,没用,整个文件夹删除 |
/member | 会员功能文件,大数企业站没用,文件夹删除,若需要会员功能的就不能删 |
/special | 专题功能,如果你不需要这个功能,文件夹删除,需要就别删,大部分是不需要的 |
/tags.php | TAG标签,没有此功能可删除 |
网站后台目录dede要删除的文件 | 删除原因 |
---|---|
/dede/tpl.php | 文件上传管理系统文件,易被挂马,强烈建议删除或者不用时请改名(tpl备用.php) |
/dede/templets_*.php | 模板管理功能,老手建议删除,使用FTP管理 |
/dede/media_*.php | 附件数据管理功能文件,易被挂马,删除(用你的FTP管理文件就可以了,别用这个) |
/dede/file_*.php | 文件式管理器功能控制器文件,易被挂马,删除(用你的FTP管理文件就可以了,别用这个) |
/dede/mytag_*.php、mytag_tag_*.php | 自定义标记管理,易被上传一句话木马 |
/dede/story_*.php | 小说功能,可删除 |
/dede/erraddsave.php | 纠错功能,可删除 |
/dede/feedback_*.php | 评论管理,可删除 |
/dede/group_*.php | 圈子功能,很少用到,可删除 |
/dede/co_*.php | 采集控制文件,可删除 |
/dede/cards_*.php | 点卡功能功能,可删除 |
/dede/ad_*.php | 广告管理添加/删除文件,企业站一般不用可删除 |
/dede/spec_*.php | 专题管理,没有专题页面,可删除 |
/dede/vote_*.php | 投票功能,可删除 |
/dede/sys_sql_query.php | SQL命令运行器,不需要的话可以改名为(sys_sql_query安全禁用.php)也可以删除 |
目录/plus要删除的文件 | 删除原因(正常的企业站可以只保留list.php、view.php、count.php、search.php、diy.php(企业站经常用到的表单)五个文件以及img文件夹,其他全部删除) |
---|---|
/plus/guestbook | 留言簿模块,整体删除,容易SQL注入及垃圾留言, |
/plus/task和task.php | 计划任务控制文件,文件夹和文件都删除 |
/plus/bookfeedback.php、bookfeedback_js.php | 图书评论和评论调用文件,存在注入漏洞,不安全 |
/plus/bshare.php | 分享插件 |
/plus/ad_js.php | 广告插件,新闻资讯站用到的,请勿删除 |
/plus/car.php、posttocar.php、carbuyaction.php | 购物车 |
/plus/comments_frame.php | 调用评论,存在安全漏洞 |
/plus/digg_ajax.php、digg_frame.php | 顶踩 |
/plus/download.php、disdls.php | 下载和次数统计 |
/plus/erraddsave.php | 纠错 |
/plus/feedback.php、feedback_ajax.php、feedback_js.php | 评论 |
/plus/stow.php | 内容收藏 |
/plus/vote.php | 投票 |
安全设置二:后台目录及账号密码修改
①网站后台文件改名:默认后台目录是/dede,需要将这个文件夹的名称修改,比如改为WangZhan123@+,那么后台登陆地址就由www.xxx.com/dede变为www.xxx.com/WangZhan123@+,(不定期更改一下)
②后台登录密码请勿使用admin,
安全设置三:目录权限设置
①有条件的用户把中 data、templets、uploads、html(可删)、special(可删)、images、install(装后删)目录设置为不允许执行脚本,include、plus、dede目录禁止写入,系统将更安全;
②网站根目录设置为755权限(即www权限),这样子根目录下的所有文件夹均为755权限
③老版本若登录后台提示验证码错误,选中/data目录,将权限设置为完全控制(可读可写)权限
安全设置四:主机安全防护
可下载第三方防护插件,例如:『D盾_防火墙』 、360出品的”织梦CMS安全包” 、百度旗下安全联盟出品的”DedeCMS顽固木马后门专杀”、服务器安全狗、启用HTTPS证书配置;
安全设置五:利用伪静态功能禁止以下目录运行php脚本
① linux主机的用户一般都是apache环境,使用 .htaccess 文件来设置,如果你网站根目录已经存在这个文件,那就复制一下代码添加进去。
RewriteEngine on#安全设置 禁止以下目录运行指定php脚本RewriteCond % !^$RewriteRule a/(.*).(php)$ – [F]RewriteRule data/(.*).(php)$ – [F]RewriteRule templets/(.*).(php|htm)$ – [F]RewriteRule uploads/(.*).(php)$ – [F] |
②:windows主机的用户一般都是iis7、iis8环境,使用 web.config 文件来设置,请确认你的主机已经开启了伪静态而且网站根目录有 web.config 文件,有这个文件的可以复制以下代码添加到对应的rules内。
<rule name=”Block data” stopProcessing=”true”> <match url=”^data/(.*).php$” /> <conditions logicalGrouping=”MatchAny”> <add input=”{USER_AGENT}” pattern=”data” /> <add input=”{REMOTE_ADDR}” pattern=”” /> </conditions> <action type=”AbortRequest” /></rule><rule name=”Block templets” stopProcessing=”true”> <match url=”^templets/(.*).php$” /> <conditions logicalGrouping=”MatchAny”> <add input=”{USER_AGENT}” pattern=”templets” /> <add input=”{REMOTE_ADDR}” pattern=”” /> </conditions> <action type=”AbortRequest” /></rule><rule name=”Block SomeRobot” stopProcessing=”true”> <match url=”^uploads/(.*).php$” /> <conditions logicalGrouping=”MatchAny”> <add input=”{USER_AGENT}” pattern=”SomeRobot” /> <add input=”{REMOTE_ADDR}” pattern=”” /> </conditions> <action type=”AbortRequest” /></rule> |
③:Nginx下禁止指定目录运行PHP脚本
注意:这段配置文件一定要放在 location ~ .php(.*)$ 的前面才可以生效,配置完后记得重启Nginx生效。
location ~* /(a|data|templets|uploads)/(.*).(php)$ {return 403;} |
测试有没有生效,可以随便创建一个PHP文件传到uploads文件夹下,执行:域名/uploads/测试文件.php 如果不能打开说明生效。
安全知识六:常见木马文件
迄今为止,我们发现的恶意脚本文件有 plus/90sec.phpplus/ac.php plus/config_s.php plus/config_bak.php plus/diy.php (系统文件)plus/ii.php plus/lndex.php data/cache/t.php data/cache/x.phpdata/cache/mytag-*.htmdata/config.php data/cache/config_user.php data/config_func.phpinclude/taglib/shell.lib.phpinclude/taglib/*.lib.php
大多数被上传的脚本集中在plus、data、data/cache、include这几个目录下,请仔细检查这几个目录下最近是否有被上传异常文件。
推荐D盾—WEB查看工具:
软件使用自行研发不分扩展名的代码分析引擎,能分析更为隐藏的WebShell后门行为。
引擎特别针对,一句话后门,变量函数后门,${}执行 ,`执行,
preg_replace执行,call_user_func,file_put_contents,fputs 等特殊函数
的参数进行针对性的识别,能查杀更为隐藏的后门,
并把可疑的参数信息展现在你面前,让你能更快速的了解后门的情况
新版特别针对 dedecms 的{dede:php}{/dede:php}代码加入了识别!
软件加入隔离功能,并且可以还原!
如有不能识别的webshell请使用上传样本功能上传给我们,我们将后期加入识别!
文章来源:http://www.hrbsem.com/?p=362
最新织梦cms漏洞之安全设置,有效防护木马(更新至20190920)相关推荐
- 最新织梦CMS程序 小黑屋QQ技术导航新增手机版源码分享
介绍: 取消自适应布局改为独立手机端,自动判断跳转 新增最新更新栏目,可以发布一些文章 修改首页ICO图标调用逻辑 更多细节优化完成 安装须知 安装环境:PHP7.0 安装路径:域名/install ...
- dede集成环境服务器网站设置,Dede织梦CMS服务器环境安全设置
1.目录权限 我们不建议用户把栏目目录设置在根目录,原因是这样进行安全设置会十分的麻烦,在默认的情况下,安装完成后,目录设置如下: (1) data.templets.uploads.a或5.3的ht ...
- 2023最新织梦CMS高端红酒酒水类网站模板源码+SEO全屏自适应布局
正文: 模板全屏自适应布局,适应大部分显示器分辨率尺寸,网站手工DIV+css,代码精简,首页排版整洁大方.布局合理.利于SEO.图文并茂.静态HTML,有兴趣的自行去安装体验吧. 程序: wwe ...
- php不建议用织梦cms,你不得不知的织梦cms安全性设置常识 - DeDecms
你不得不知的织梦cms安全性设置常识 用过织梦cms的朋友了,这里就不多说了,织梦cms相对来说还是比较简单易用的,至于织梦cms的安全性如何,是否存在漏洞,这个问题来讲是不可避免的,当然了,这里也不 ...
- cms自动更新php文件,织梦cms内容页修改或者删除文章之后自动更新上下篇或者首页...
织梦CMS后台修改.删除文章后自动更新首页和相应列表页.织梦后台只能开启发布后更新主页,列表,和上下页.有时候我们需要在编辑时也能更新想要的,这样不用每次去生成. 使用织梦CMS建站时我们通常会需要删 ...
- 织梦CMS建站系统被曝漏洞 几十万网站沦为木马网站
最新消息,瑞星与 360 今日对外发布警示,称国内知名的 PHP 开源网站管理系统织梦 CMS(DedeCms)安装包被发现植入后门,黑客可通过此后门直接获得网站的控制权限,获取存储在服务器上的文件和 ...
- mysql权限设置dede_dede5.7织梦cms目录权限安全配置教程 win服务器iis
dede5.7织梦cms目录权限安全配置教程 win服务器iis 官方的DEDE安全设置教程,设置好后还是有问题,比如,验证码错误了,因为DATA没有写入权限,还有文件没法生成了,也是因为生成目录没有 ...
- 最新织梦DEDECMS全站目录化伪静态设置(网址和生成静态地址一样、电脑和手机访问地址也一样)
最新织梦DEDECMS全站目录化伪静态设置,伪静态设置成功后,网址和生成静态地址一样.电脑和手机访问地址也一样. 如果你电脑端是生成静态而手机端是动态的话,请查看织梦手机端伪静态设置http://ww ...
- 最新网页素材文档图库下载类网站源码+织梦CMS内核
正文: 网页素材文档图库下载类网站源码+织梦CMS内核,本程序采用一库两站简洁方便管理后台,一个后台管理两网站,电脑版+手机版 程序特点: 1.网站手工DIV+css,代码精简,首页排版整洁大方.布局 ...
最新文章
- opencv中的threshold()函数(二值化)
- 教AI逐帧搓招玩《铁拳》通关最高难度,现在的街机游戏爱好者有点东西啊
- html闪烁字体设置,HTML最简单的文字闪烁代码
- C#基础语法(第三天)
- kienct -color
- poj1419 Graph Coloring 最大独立集(最大团)
- 浪潮业务稳定连续性获Global Data唯一“Leader”评级 蝉联数据中心整体能力“Very Strong”评级
- (20) Vue.js 框架基础面试题
- java list数据的更新_新增页面提交数据 list页面没有更新数据
- 点云质量评估_Chamfer Distance--倒角距离
- win7一直弹计算机,Win7电脑总是自动弹出拨号连接怎么办 Win7总是弹出拨号连接对话框的解决办法(两种)...
- Qt编写地图综合应用12-路线查询
- webstorm bable
- BLUP育种值如何计算准确性
- 一文拿捏:正则表达式
- 服务端程序由什么定义_到底什么是街球?这款游戏由你定义!
- OA办公系统,推动企业管理革新
- unity学习———2D人物的移动
- 卡巴斯基+NodeJS打造远程杀毒服务器
- Z-Wave 700应用程序框架第四章 - 从零开始一个Z-Wave Plus应用