你是否遇到過這樣？

織夢(mèng)：為什么受傷的總是我？

1、漏洞的多少除了程序本身之外，和使用量也有關(guān)，織夢(mèng)dedecms的市場(chǎng)占有率相當(dāng)高，用的人也多，肯定找漏洞的人就多了，甚至網(wǎng)上還有各種針對(duì)織夢(mèng)漏洞爆破掛馬的工具，連剛出生的嬰兒都能操作的批量掛馬工具，問你怕了沒，相反有的程序都沒有幾個(gè)人用，沒有人找漏洞，暴露出來的也就少了。

2、織夢(mèng)dedecms官方不作為，最近1，2年除了常規(guī)更新，其他更新早已停更很久很久。

3、由于織夢(mèng)dedecms的簡(jiǎn)單上手快，很多新手和小白前期沒了解過織夢(mèng)安全這一塊，網(wǎng)站上線后連后臺(tái)目錄dede文件夾也沒改，甚至連默認(rèn)的管理員賬號(hào)密碼都是默認(rèn)的，別人隨意進(jìn)入后臺(tái)搞亂。

Ps：如果你又想安全又不想放棄織夢(mèng)，那就跟著我看下面的教程，動(dòng)手打造一個(gè)安全的織夢(mèng)網(wǎng)站吧，下面的教程只是常規(guī)的防范，足以應(yīng)付那些利用工具掃站和搗亂的小人小屁孩，更深入的安全防護(hù)將在下一個(gè)教程說織夢(mèng)內(nèi)核改名和各個(gè)文件夾權(quán)限，一開始太復(fù)雜我怕整暈倒你，為了你的身心健康還是先從簡(jiǎn)單開始吧。

[前言]

無論你網(wǎng)站現(xiàn)在是被串改、被掛馬、被入侵 還是 剛剛才用織夢(mèng)建好的網(wǎng)站，都建議你現(xiàn)在跟著我動(dòng)手給它打一針預(yù)防針，萬一疫苗有效呢。

本站所有教程一律禁止在記事本上修改，強(qiáng)烈建議使用 Noptepad++ 或者 Sublime Text 或者 Dreamweaver 來修改。

本站所有教程里的圖片都會(huì)有QQ水印，為了防止被一些小人壞人利用這些原創(chuàng)免費(fèi)的教程到處騙人騙錢。

該教程略長(zhǎng)，而且操作的地方多，建議你多看幾遍知道大綱和步驟后再按步驟來操作，做不來可以付費(fèi)請(qǐng)我來代勞哦，呵~

手把手視頻教程看這里

https://www.dedehtml.com/video/dede-safe-video.html

第一步：備份

1-1、后臺(tái)-系統(tǒng)-數(shù)據(jù)庫(kù)備份/還原，數(shù)據(jù)備份。

1-2、打包整站下載到你電腦上來，防止被改壞了無法還原回來。打包可以利用主機(jī)面板的打包功能，快速又方便。

第二步：最新織夢(mèng)

http://www.dedecms.com/products/dedecms/downloads/ [官網(wǎng)] 下載對(duì)應(yīng)編碼的最新織夢(mèng)程序包

https://d.dedehtml.com/ 或者下載我已經(jīng)整理好的精簡(jiǎn)版織夢(mèng)

第三步：刪除最新織夢(mèng)程序包那些沒用的又容易被掛馬入侵的程序文件

3-1、刪除以下文件夾和文件

• member 會(huì)員文件夾整個(gè)刪除
• special 專題文件夾整個(gè)刪除
• install 安裝文件夾整個(gè)刪除
• robots.txt 文件刪除
  

3-2、刪除 /templets/default 官方默認(rèn)模板這個(gè)文件夾

3-3、plus 文件夾除了以下 1個(gè)文件夾 和 5個(gè)php文件，其他的文件統(tǒng)統(tǒng)刪除

• /plus/img (這個(gè)文件夾)
• /plus/count.php
• /plus/diy.php
• /plus/list.php
• /plus/search.php
• /plus/view.php

3-4、把 dede 后臺(tái)文件夾改名，改復(fù)雜一點(diǎn)，改成爹媽都不認(rèn)識(shí)它。

第四步：修復(fù)剛剛下載的織夢(mèng)最新程序包里已知漏洞

第五步：從第一步的整站備份文件夾里檢查 模板 和 文檔圖片文件夾 是否有掛馬和后門等可疑文件或代碼

  這一步需要一點(diǎn)專業(yè)知識(shí)，如果你實(shí)在不懂，就到群里虛心請(qǐng)教，遇到可疑的地方截圖請(qǐng)教別人，慢慢見的后門和木馬代碼多了，你就離成為大神不遠(yuǎn)了。

也可以借助D盾，掃描一下

D盾官方下載 http://www.d99net.net/

  5-1、每一個(gè)跟模板有關(guān)的js文件都要一一打開來細(xì)心檢查，因?yàn)閽祚R很多在js文件中，不然你前面和后面的工作都白做了。

  5-2、每一個(gè)跟模板有關(guān)的css 和 images 文件夾下都要細(xì)心檢查是否有后門文件，除了圖片文件、css文件、字體文件，其他的一律刪除，刪錯(cuò)了也不用擔(dān)心，有整站打包的備份在。

  5-3、每一個(gè)模板htm文件都要細(xì)心檢查是否有掛馬代碼存在，檢查你的模板文件夾里是否有后門文件，比如php文件，asp文件，其他可疑的格式文件一律刪除，刪錯(cuò)了也不用擔(dān)心，有整站打包的備份在。

  5-4、你備份文件中的文檔圖片文件夾 uploads 文件夾，每一個(gè)文件夾都要打開，都要細(xì)心檢查是否有后門文件，除了圖片文件和你的附件，其他的一律刪除，刪錯(cuò)了也不用擔(dān)心，有整站打包的備份在。

例如，在uploads文件夾里發(fā)現(xiàn)了一個(gè)圖片木馬文件，它是看不到圖的，所以u(píng)ploads文件夾里面的所有文件都要看一遍

  5-5、/data/common.inc.php 和  /data/config.cache.inc.php 一會(huì)配合打包要用到，所以也要檢查。

  5-6、/include/extend.func.php 和 /include/common.func.php 可能有二次開發(fā)的自定義方法在里面，所以也要檢查。

  5-7、其他你曾經(jīng)二次開發(fā)修改過的文件。

第六步：把第五步處理過的以下文件和文件夾復(fù)制到你第一步處理過的官方最新程序而且刪除和修復(fù)漏洞的那個(gè)文件夾對(duì)應(yīng)的位置里

• /data/common.inc.php
• /data/config.cache.inc.php
• /include/extend.func.php
• /include/common.func.php
  
• /templets/你的模板文件夾
• /uploads
• 其他你曾經(jīng)二次開發(fā)修改過的文件
• 還有可能你的模板關(guān)聯(lián)的css 和 js 和 images圖片，這個(gè)自己看著辦
  

復(fù)制進(jìn)來后，打包本地整好的文件

第七步：清空線上網(wǎng)站所有文件，上傳本地整好的文件包

7-1、把主機(jī)里現(xiàn)在網(wǎng)站里的所有文件清空，不需要到mysql清除數(shù)據(jù)哦。虛擬主機(jī)的小伙伴可以借助主機(jī)面板一鍵清空，省事又干凈。

7-2、把剛剛整理好的最新程序打包上傳到主機(jī)里解壓出來，不需要重新安裝哦

7-3、登錄網(wǎng)站后臺(tái)，打開 系統(tǒng)-系統(tǒng)設(shè)置-基本參數(shù)，點(diǎn)擊確認(rèn)一次，更新欄目緩存，更新系統(tǒng)緩存，再去生成全站。

第八步：后臺(tái)-模塊-廣告管理，檢查是否有掛馬的廣告，如果不用廣告模塊記得清空所有廣告，或者用SQL命令一鍵批量刪除

后臺(tái)-系統(tǒng)-SQL命令行工具，執(zhí)行

TRUNCATE dede_search_keywords;
TRUNCATE dede_myad;
TRUNCATE dede_myadtype;
TRUNCATE dede_mytag;

如果有防火墻限制了執(zhí)行，可以到phpmyadmin里執(zhí)行，那樣的話記得把dede_改成你的表前綴，例如 dede_

第九步：主機(jī)或服務(wù)器環(huán)境的重要性

盡量選擇linux環(huán)境的主機(jī)或者服務(wù)器

盡量選擇最高PHP版本

虛擬主機(jī)盡量禁止不必要的環(huán)境參數(shù)和函數(shù)

第十步：利用偽靜態(tài)功能禁止以下目錄運(yùn)行php腳本

linux主機(jī)的用戶一般都是apache環(huán)境，使用 .htaccess 文件來設(shè)置，如果你網(wǎng)站根目錄已經(jīng)存在這個(gè)文件，那就復(fù)制一下代碼添加進(jìn)去，沒有這個(gè)文件的小伙伴可以下載下來放進(jìn)去

RewriteEngine on
#安全設(shè)置 禁止以下目錄運(yùn)行指定php腳本
RewriteCond % !^$
RewriteRule a/(.*).(php)$ – [F]
RewriteRule data/(.*).(php)$ – [F]
RewriteRule images/(.*).(php)$ – [F]
RewriteRule css/(.*).(php)$ – [F]
RewriteRule js/(.*).(php)$ – [F]
RewriteRule style/(.*).(php)$ – [F]
RewriteRule skin/(.*).(php)$ – [F]
RewriteRule templets/(.*).(php|htm)$ – [F]
RewriteRule uploads/(.*).(php)$ – [F]

.htaccess 文件下載

https://pan.baidu.com/s/1E3QQw6iXg7RZhJ2AsS-KSA

windows主機(jī)的用戶一般都是iis7、iis8環(huán)境，使用 web.config 文件來設(shè)置，請(qǐng)確認(rèn)你的主機(jī)已經(jīng)開啟了偽靜態(tài)而且網(wǎng)站根目錄有 web.config 文件，有這個(gè)文件的可以復(fù)制以下代碼添加到對(duì)應(yīng)的rules內(nèi)，沒有這個(gè)文件的小伙伴可以下載下來放進(jìn)去

<rule name="Block a" stopProcessing="true">
	<match url="^a/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="a" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block data" stopProcessing="true">
	<match url="^data/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="data" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block skin" stopProcessing="true">
	<match url="^skin/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="skin" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block style" stopProcessing="true">
	<match url="^style/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="style" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block css" stopProcessing="true">
	<match url="^css/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="css" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block js" stopProcessing="true">
	<match url="^js/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="js" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block images" stopProcessing="true">
	<match url="^images/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="images" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block templets" stopProcessing="true">
	<match url="^templets/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="templets" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>
<rule name="Block uploads" stopProcessing="true">
	<match url="^uploads/(.*).php$" />
	<conditions logicalGrouping="MatchAny">
		<add input="{USER_AGENT}" pattern="uploads" />
		<add input="{REMOTE_ADDR}" pattern="" />
	</conditions>
	<action type="AbortRequest" />
</rule>

web.config 文件下載

https://pan.baidu.com/s/1I24VYxGPezDWgPVdxHzq9Q

Nginx下禁止指定目錄運(yùn)行PHP腳本

注意:這段配置文件一定要放在 location ~ .php(.*)$ 的前面才可以生效，配置完后記得重啟Nginx生效。

location ~* /(a|data|style|skin|images|css|js|templets|uploads)/(.*).(php)$ {
	return 403;
}

寶塔面板的在配置文件里找到PHP引用配置

寶塔面板的小伙伴想要一次性給所有網(wǎng)站加這個(gè)的話，看下圖操作

百度云Nginx虛擬主機(jī)，開啟偽靜態(tài)后，手動(dòng)添加個(gè) bcloud_nginx_user.conf 放網(wǎng)站根目錄，不會(huì)的到這里下載 https://www.dedehtml.com/help/baidu-bch-rewrite.html

第十步尤其重要，如何驗(yàn)證第十步是否生效呢

用 Noptepad++ 或者 Sublime Text 或者 Dreamweaver 新建一個(gè)php文件，名為1.php，里面隨便打幾個(gè)數(shù)字即可

上傳到你網(wǎng)站的 uploads 文件夾里，然后在瀏覽器上打開 http://域名/uploads/1.php

這樣提示表示生效了

如果是能正常顯示你寫的數(shù)字，那表示沒生效，有風(fēng)險(xiǎn)，想辦法讓它生效吧。

測(cè)試完后就可以刪除這個(gè)1.php文件了

第十一步，投訴快照，申訴QQ紅名

如果你的網(wǎng)站在百度或者谷歌快照有誤，去快照里投訴。

QQ聊天紅名，點(diǎn)進(jìn)去，申訴一下。

好了，自己動(dòng)手做一下織夢(mèng)安全防護(hù)或者掛馬處理的教程到此結(jié)束，有什么地方寫的不妥你來打我啊，開玩笑的，不妥的地方還請(qǐng)海涵或者私聊告訴我，多謝。