DeDeCMS(织梦)安全这样做，防黑链防挂马防篡改，安全99.99%

关键词:DeDecms 织梦 挂马 篡改 标题乱码 快照劫持 安全设置 护卫神

作为网络上众多开源PHP程序的明星产品之一，DeDeCMS(织梦)使用者甚多，一些企业展示、医院、小说站或者做SEO推广的朋友喜欢他的排名效果。但同时因为使用广泛，关注固然也多，织梦程序的漏洞也层出不穷，网络上的所谓的“黑客”喜欢拿着神器，到处批量扫描入侵，很多公司没有专业的运维人员，建站时网站直接everyone、iisuer完全控制权限，或者网站运行身份直接管理员，这直接就是给不法分子开通绿色通达啊，加上网站不错，权重稍微高点的流量站，更是被做黑产的盯着，看了很多文章所说的，要及时升级补丁，要改后台，改代码，要删除不必要的功能模块，对于我们大部分用户来说，太难了，如果一旦失误改错，造成程序无法正常运行等，今天就来跟大家聊一聊不改动代码任何配置如何做好DeDeCMS（织梦）程序的安全，以免后顾之忧，受黑客所扰。

首先呢，我们来看一看我们如何安全的建立站点流程（IIS为例）

准备工作：

1.  把程序放到您想要放得地方，比如D:\wwwroot\dedecms

2.  创建网站需要的运行匿名账户并加入guests组:dedecms_hws(自己命名喜欢就好)

开始配置：

1.  设置程序目录dedecms权限

Administrators和system：完全控制

IIS_IUSRS和dedecms_hws：读取权限             

高级设置Dedecms_hws：遍历文件夹/执行文件（应用于：此文件和子文件夹）

2.  程序目录需要读写删权限的增加dedecms_hws的写删权限

/data/：增加写删

/uploads/：增加写删（上传）

文章目录：增加写删（生成静态）

首页文件：index.html增加写删 （生成首页更新）

3.  打开IIS创建站点，并设置身份验证为指定用户dedecms_hws

4.  去掉上面设置过写入权限目录的脚本执行权限

去掉/data/、/uploads/、文章目录的脚本执行权限

至此，安全网站配置完成，常规的上传目录，上传目录后，无法执行，可以解决大部分网站权限混乱，权限过大等问题,但sql注入、后台爆破、程序逻辑漏洞等问题仍然存在，进一步提升网站安全系数很有必要。

安全等级提升：

系统安全加固+入侵防御（SQL注入等）+网站安全高级策略+后台验证

我们会用到护卫神入侵防护系统+网站安全系统两款软件

比如我们常见的SQL注入、xss攻击、命令执行等攻击方式，需要加以辅助工具，建议配合护卫神·入侵防护系统，这样部署以后，对于大部分黑客无法再入侵，但仍然存在一些技术比较好的黑客，可能绕过限制、以及后台目录访问暴露等，所以可以进一步部署护卫神·网站安全系统，对网站配置更强劲的安全策略，精准分离访客和管理员的运行身份，同时对后台做IP保护，后台信息暴露让攻击者无法登录也无从下手，彻底防止网站被入侵挂马篡改等问题，建立多重防护，给您一个安全的服务器和网站运行环境，让安全做到无懈可击，远离快照劫持，黑链，首页标题被篡改乱码等问题

效果展示：

入侵防IIS加固模块拦截异常访问，sql注入等异常操作：

配置安全系统做好后台验证后，普通用户访问被403拦截

通过专用地址输入密码进行自动授权

再次访问，即可正常访问后台

最后，安全问题无事小，希望大家都能经常关注自己的网站，提前做好安全防护，防患于未然，出现问题及时处理，将损失降到最低，同时提升个人安全意识，重要敏感信息不轻易外泄，不在网站目录下随意存储敏感信息文件等，数据是各位站长和管理员最宝贵的财富。

*本文原创作者：护卫神hws.com，转载请标明出处