DeDeCMS(织梦)安全设置,防黑链防挂马防篡改

管理员:云悦科技 时间:2020-02-12 83

作为网络上众多开源PHP程序的明星产品之一,DeDeCMS(织梦)使用者甚多,一些企业展示、医院、小说站或者做SEO推广的朋友喜欢他的排名效果。但同时因为使用广泛,关注固然也多,织梦程序的漏洞也层出不穷,网络上的所谓的“黑客”喜欢拿着神器,到处批量扫描入侵,很多公司没有专业的运维人员,建站时网站直接everyone、iisuer完全控制权限,或者网站运行身份直接管理员,这直接就是给不法分子开通绿色通达啊,加上网站不错,权重稍微高点的流量站,更是被做黑产的盯着,看了很多文章所说的,要及时升级补丁,要改后台,改代码,要删除不必要的功能模块,对于我们大部分用户来说,太难了,如果一旦失误改错,造成程序无法正常运行等,今天就来跟大家聊一聊不改动代码任何配置如何做好DeDeCMS(织梦)程序的安全,以免后顾之忧,受黑客所扰。

首先呢,我们来看一看我们如何安全的建立站点流程(IIS为例)

准备工作:

1.  把程序放到您想要放得地方,比如D:\wwwroot\dedecms

2.  创建网站需要的运行匿名账户并加入guests组:dedecms_hws(自己命名喜欢就好)

图片 1.png

开始配置:

1.  设置程序目录dedecms权限

Administrators和system:完全控制

IIS_IUSRS和dedecms_hws:读取权限             

高级设置Dedecms_hws:遍历文件夹/执行文件(应用于:此文件和子文件夹)

图片 2.png

2.  程序目录需要读写删权限的增加dedecms_hws的写删权限

/data/:增加写删

/uploads/:增加写删(上传)

文章目录:增加写删(生成静态)

首页文件:index.html增加写删 (生成首页更新)

图片 3.png

3.  打开IIS创建站点,并设置身份验证为指定用户dedecms_hws

图片 4.png

4.  去掉上面设置过写入权限目录的脚本执行权限

去掉/data/、/uploads/、文章目录的脚本执行权限

图片 5.png

    至此,安全网站配置完成,常规的上传目录,上传目录后,无法执行,可以解决大部分网站权限混乱,权限过大等问题,但sql注入、后台爆破、程序逻辑漏洞等问题仍然存在,进一步提升网站安全系数很有必要。

 

安全等级提升:

    系统安全加固+入侵防御(SQL注入等)+网站安全高级策略+后台验证

我们会用到护卫神入侵防护系统+网站安全系统两款软件

比如我们常见的SQL注入、xss攻击、命令执行等攻击方式,需要加以辅助工具,建议配合护卫神·入侵防护系统,这样部署以后,对于大部分黑客无法再入侵,但仍然存在一些技术比较好的黑客,可能绕过限制、以及后台目录访问暴露等,所以可以进一步部署护卫神·网站安全系统,对网站配置更强劲的安全策略,精准分离访客和管理员的运行身份,同时对后台做IP保护,后台信息暴露让攻击者无法登录也无从下手,彻底防止网站被入侵挂马篡改等问题,建立多重防护,给您一个安全的服务器和网站运行环境,让安全做到无懈可击,远离快照劫持,黑链,首页标题被篡改乱码等问题

效果展示:

入侵防IIS加固模块拦截异常访问,sql注入等异常操作:

t.jpg

   配置安全系统做好后台验证后,普通用户访问被403拦截

图片 6.png

 


电话咨询
在线地图
QQ客服