防止dedecms注入文件掛馬的解決方法
2024-04-25 20:51:16
供稿：網友
最近一段時間dedecms注入文件掛馬的事情非常嚴重。讓很多的站長朋友很是苦惱，那我們怎樣防止這樣的事情呢？下面就分享一下大家總結的方法。
1、目錄權限
我們不建議用戶把欄目目錄設置在根目錄，原因是這樣進行安全設置會十分的麻煩，在默認的情況下，安裝完成后，目錄設置如下：
(1) data、templets、uploads、a或5.3的html目錄，設置可讀寫，不可執行的權限；
(2) 不需要專題的，建議刪除special 目錄，需要可以在生成HTML后，刪除special/index.php 然后把這目錄設置為可讀寫，不可執行的權限；
(3) include、member、plus、后臺管理目錄設置為可執行腳本，可讀，但不可寫入（安裝了附加模塊的，book、ask、company、group 目錄同樣如此設置）。
2、其它需注意問題
(1) 雖然對install 目錄已經進行了嚴格處理，但為了安全起見，我們依然建議把它刪除；
(2) 不要對網站直接使用MySQL root用戶的權限，給每個網站設置獨立的MySQL用戶帳號，許可權限為：
SELECT, INSERT , UPDATE , DELETE
CREATE , DROP , INDEX , ALTER , CREATE TEMPORARY TABLES
由于DEDE并沒有任何地方使用存儲過程，因此務必禁用FILE、EXECUTE 等執行存儲過程或文件操作的權限。
3.data目錄路徑更改
另外在DedeCMS V5.7中用戶也可以設定data目錄到上一級非web訪問目錄，基本操作如下：
3.1.將data目錄移動到上一級目錄中，這里直接剪切過去就可以了；
3.2.配置include/common.inc.php中DEDEDATA文件
define('DEDEDATA', DEDEROOT.'/data');
可以改成類如：
define('DEDEDATA', DEDEROOT.'/../../data');
3. 3.后臺設置模板緩存路徑
模板緩存目錄：改為../../data/tplcache
4、修改后臺路徑
當然我們還要特別注意的是，dedecms默認的后臺路徑為dede,我們最好更改這個文件夾的名稱，越復雜越好;別外強烈建議data/common.inc.php文件屬性設置為644（Linux/Unix）或只讀（NT）；
做到以上四點，就給你的網站加了一道防護墻了，當然我們平時還是要多備份，及時的打dedecms發出的補丁。
