一、面板针对dede的安全功能: 1、升级到dedecms最新版本 dedecms后台一般支持在线升级,如果不行,请到官方网站查询手工升级办法www.dedecms.com 2、权限设置: 请点击控制面板中的“目录权限”功能, A、如网站及信息已完成,以后不更新; 主机控制面板中点击 “文件管理” ,点击 “权限” 按钮,将整站所有文件目录即:wwwroot设置为只读。 如下图; B、更新时,可以临时:点击:恢复默认 C、写入:即可上传的、生成的目录,如发布信息更新到哪个目录可以单独,把此目录设置为写入; 执行:是最危险的,因为如此目录里有木马,dede是最易利用漏洞,全站挂马;很多客户(未做安全)均发生; 3、保护危险目录(非常重要): 为防止木马被上传执行,请点击控制面板中的“目录权限”功能,依次选择templates、uploads、data这三个目录添加为读取(仅只读,不可执行或写入)(以禁止脚本执行,防止黑客上传木马) 4、防SQL注入:本司已专门开发为主机增加:防SQL脚本注册功能;在空间面板一定要点下; 另外, 对于已经被入侵的网站,建议一定先处理完存在的木马或清理完挂马文件,再按上述方法设置空间; 【处理方法】1、下载整站:用dede专杀软件(向客服索取);处理后再上传到空间; 2、人工分析判断异常文件,若被黑严重建议备份好当前数据库和重要文件,然后清空重新上传安装并恢复数据库。 二、手动可增加如下操作: DEDE或PHP程序安全核心:所有能够执行脚本的文件只能读,不能写;能够写入的文件却不能执行脚本,这样做的效果是尽可能的做到最严密的设置! 1、需要设置 可读写不可执行 的目录为:data、templets、uploads、a或5.3的html目录; 2、需要设置为 可读可执行不可写入 的目录为:include、member、plus、后台管理目录(默认dede)、模块目录book、ask、company、group…… 3、不需要 会员、专题的,可以直接 删除 member、special 目录,或者重命名; 4、已经安装好dedecms的,一定直接删除install目录; 5、后台目录一定要改下,后台密码一定不要默认,带admin这类,一定改下; 6、管理目录下的这些文件是后台文件管理器,属于多余功能,而且最影响安全,许多HACK都是通过它来挂马的 file_manage_control.php file_manage_main.php file_manage_view.php media_add.php media_edit.php media_main.php 再有:不需要SQL命令运行器的将dede/sys_sql_query.php 文件删除。 不需要tag功能请将根目录下的tag.php删除。不需要顶客请将根目录下的digg.php与diggindex.php删除。 不需要专题的,建议删除 special 目录, 需要可以在生成HTML后,删除 special/index.php 然后把这目录设置为可读写,不可执行的权限; include、member、plus、后台管理目录 设置为可执行脚本,可读,但不可写入(安装了附加模块的,book、ask、company、group 目录同样如此设置)。 7、删除目录执行权限。这个是官方强烈推荐的安全防范措施,请你务必重视 三、其它相关:利用伪静态取消目录执行脚本 1、linux系统: 新建一个txt文本文件,用文本编辑器打开,复制以下规则保存,上传到网站根目录,将文件重新命名.htaccess(注意有点) RewriteEngine on #安全设置 禁止以下目录运行指定php脚本 RewriteCond % !^$ RewriteRule a/(.*).(php)$ – [F] RewriteRule data/(.*).(php)$ – [F] RewriteRule images/(.*).(php)$ – [F] RewriteRule css/(.*).(php)$ – [F] RewriteRule js/(.*).(php)$ – [F] RewriteRule style/(.*).(php)$ – [F] RewriteRule skin/(.*).(php)$ – [F] RewriteRule templets/(.*).(php|htm)$ – [F] RewriteRule uploads/(.*).(php)$ – [F] 2、windows系统: 新建一个txt文本文件,用文本编辑器打开,复制以下规则保存,上传到网站根目录,将文件重新命名web.config。 如果网站目录原本有web.config文件,仅复制以下红色部分,添加到<rules>这行后面 <?xml version="1.0" encoding="UTF-8"?> <configuration> <system.webServer> <rewrite> <rules> <rule name="Block a" stopProcessing="true"> <match url="^a/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="a" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block data" stopProcessing="true"> <match url="^data/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="data" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block skin" stopProcessing="true"> <match url="^skin/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="skin" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block style" stopProcessing="true"> <match url="^style/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="style" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block css" stopProcessing="true"> <match url="^css/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="css" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block js" stopProcessing="true"> <match url="^js/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="js" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block images" stopProcessing="true"> <match url="^images/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="images" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block templets" stopProcessing="true"> <match url="^templets/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="templets" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> <rule name="Block uploads" stopProcessing="true"> <match url="^uploads/(.*).php$" /> <conditions logicalGrouping="MatchAny"> <add input="{USER_AGENT}" pattern="uploads" /> <add input="{REMOTE_ADDR}" pattern="" /> </conditions> <action type="AbortRequest" /> </rule> </rules> </rewrite> </system.webServer> </configuration> |
全国热线:15905202758