DeDeCMS织梦安全这样做,防黑链防挂马防篡改,安全99.99



DeDeCMS(织梦)安全这样做,防黑链防挂马防篡改,安全99.99%

 

关键词:DeDecms 织梦 挂马 篡改 标题乱码 快照劫持 安全设置 护卫神

 

作为网络上众多开源PHP程序的明星产品之一,DeDeCMS(织梦)使用者甚多,一些企业展示、医院、小说站或者做SEO推广的朋友喜欢他的排名效果。但同时因为使用广泛,关注固然也多,织梦程序的漏洞也层出不穷,网络上的所谓的“黑客”喜欢拿着神器,到处批量扫描入侵,很多公司没有专业的运维人员,建站时网站直接everyone、iisuer完全控制权限,或者网站运行身份直接管理员,这直接就是给不法分子开通绿色通达啊,加上网站不错,权重稍微高点的流量站,更是被做黑产的盯着,看了很多文章所说的,要及时升级补丁,要改后台,改代码,要删除不必要的功能模块,对于我们大部分用户来说,太难了,如果一旦失误改错,造成程序无法正常运行等,今天就来跟大家聊一聊不改动代码任何配置如何做好DeDeCMS(织梦)程序的安全,以免后顾之忧,受黑客所扰。

首先呢,我们来看一看我们如何安全的建立站点流程(IIS为例)

准备工作:

1.  把程序放到您想要放得地方,比如D:\wwwroot\dedecms

2.  创建网站需要的运行匿名账户并加入guests组:dedecms_hws(自己命名喜欢就好)

图片 1.png

开始配置:

1.  设置程序目录dedecms权限

Administrators和system:完全控制

IIS_IUSRS和dedecms_hws:读取权限             

高级设置Dedecms_hws:遍历文件夹/执行文件(应用于:此文件和子文件夹)

图片 2.png

2.  程序目录需要读写删权限的增加dedecms_hws的写删权限

/data/:增加写删

/uploads/:增加写删(上传)

文章目录:增加写删(生成静态)

首页文件:index.html增加写删 (生成首页更新)

图片 3.png

3.  打开IIS创建站点,并设置身份验证为指定用户dedecms_hws

图片 4.png

4.  去掉上面设置过写入权限目录的脚本执行权限

去掉/data/、/uploads/、文章目录的脚本执行权限

图片 5.png

至此,安全网站配置完成,常规的上传目录,上传目录后,无法执行,可以解决大部分网站权限混乱,权限过大等问题,但sql注入、后台爆破、程序逻辑漏洞等问题仍然存在,进一步提升网站安全系数很有必要。

 

安全等级提升:

系统安全加固+入侵防御(SQL注入等)+网站安全高级策略+后台验证

我们会用到护卫神入侵防护系统+网站安全系统两款软件

比如我们常见的SQL注入、xss攻击、命令执行等攻击方式,需要加以辅助工具,建议配合护卫神·入侵防护系统,这样部署以后,对于大部分黑客无法再入侵,但仍然存在一些技术比较好的黑客,可能绕过限制、以及后台目录访问暴露等,所以可以进一步部署护卫神·网站安全系统,对网站配置更强劲的安全策略精准分离访客和管理员的运行身份,同时对后台做IP保护,后台信息暴露让攻击者无法登录也无从下手,彻底防止网站被入侵挂马篡改等问题,建立多重防护,给您一个安全的服务器和网站运行环境,让安全做到无懈可击,远离快照劫持,黑链,首页标题被篡改乱码等问题

效果展示:

入侵防IIS加固模块拦截异常访问,sql注入等异常操作:

t.jpg

配置安全系统做好后台验证后,普通用户访问被403拦截

图片 6.png

 

通过专用地址输入密码进行自动授权

图片 7.png

再次访问,即可正常访问后台

图片 8.png

 

最后,安全问题无事小,希望大家都能经常关注自己的网站,提前做好安全防护,防患于未然,出现问题及时处理,将损失降到最低,同时提升个人安全意识,重要敏感信息不轻易外泄,不在网站目录下随意存储敏感信息文件等,数据是各位站长和管理员最宝贵的财富。

 

*本文原创作者:护卫神hws.com,转载请标明出处


护卫神-服务器安全专家,专业解决服务器安全问题、网站挂马防护、网页篡改保护、DDOS攻击防护,提供服务器代维、主机运维、SSL证书。