如何修改织梦DedeCMS目录以增强网站安全并防止被挂马？

织梦DedeCMS目录增强安全防止网站挂马

为了提高织梦DedeCMS的安全性，防止网站被挂马，可以采取以下措施：

1、改名根目录下的data目录

原因：data目录是系统经常写入数据的地方，且其文件可以通过URL访问，如果攻击者通过漏洞植入木马代码，他们可以轻松找到这些文件并继续攻击。

具体做法：

将公开的内容迁移到pub目录（或其它自定义目录）下，如rss、sitemap、js、enum等，此步骤需要移动文件夹，并修改这些文件的生成路径。

修改引用程序目录，搜索替换“DEDEDATA.’/data/”为“DEDEDATA.’/”，大概需要替换五六十个地方。

修改data文件夹名称，并修改include/common.inc.php文件里的“DEDEDATA”的值，再在后台系统设置》参数设置里修改模板缓存目录，即可修改完成。

2、改名“dede”管理目录

原因：如果攻击者获取了管理员账号和密码，但找不到登录页面，也无法进行进一步的攻击。

具体做法：

在/dede/config.php里，找到如下行：

“`php

//检验用户登录状态

$cuserLogin = new userLogin();

if($cuserLogin>getUserID()==1)

{

header("location:login.php?gotopage=".urlencode($dedeNowurl));

}

“`

把上面代码，改为：

“`php

//检验用户登录状态

$cuserLogin = new userLogin();

if($cuserLogin>getUserID()==1)

{

header("HTTP/1.0 404 Not Found");

exit();

}

“`

修改/dede/login.php的文件名称，并对应的修改/dede/templets/login.htm里的表单提交地址。

修改/dede/的目录名称，这样别人在没有登录前，只能访问/dede/login.php改名后的地址，访问其他地址均会获得404错误。

3、删除不必要的文件和目录

原因：不需要的功能模块可能成为黑客攻击的目标，删除不必要的文件和目录可以减少潜在的风险。

具体做法：

删除member会员功能、special专题功能、company企业模块、plusguestbook留言板等不需要的目录。

删除dede/sys_sql_query.php、tag.php、digg.php、diggindex.php等文件。

删除install安装程序目录。

4、设置复杂密码

原因：简单易猜的密码容易被破解，设置复杂的密码可以有效防止暴力破解。

具体做法：

后台登录和数据库账号密码要长，至少8位，并且字母与数字混合。

初次安装完成后将admin删除，新建一个管理员名字不要太简单。

5、添加空的index.html文件

原因：防止目录被直接列出，增加黑客获取敏感信息的难度。

具体做法：

将每个目录添加空的index.html，防止目录被访问。

6、使用360_safe3.php防SQL注入

原因：SQL注入是一种常见的攻击方式，使用360提供的防SQL注入文件可以有效防止这种攻击。

具体做法：

下载并解压360_safe3.php文件，将其上传到网站根目录。

在需要防护的页面中添加防护代码：require_once('360_safe3.php');。

FAQs

问：为什么改名data目录能提高安全性？

答：因为data目录是系统经常写入数据的地方，且其文件可以通过URL访问，如果攻击者通过漏洞植入木马代码，他们可以轻松找到这些文件并继续攻击，改名后，即使攻击者找到了木马文件，也找不到正确的文件路径，从而无法继续展开攻击。

问：如何设置复杂的管理员密码？

答：管理员密码应该长，至少8位，并且包含字母与数字的混合，初次安装完成后，将默认的admin账户删除，新建一个管理员账户，名字不要太简单，这样可以有效防止暴力破解。