织梦漏洞注意问题及修改

大 中 小  文章来源：万象互联 更新时间：2012-9-25 18:58:39
分享：

    一、及时更新网站补丁。要及时更新网站补丁的话就自然要时常关注织梦官方的动态，因为织梦官方会及时的把漏洞公布出来，并提高相关的补丁包;　　二、需要 管理好网站的用户名、密码以及ftp等网站相关安全信息，当然你所设置的网站用户名、密码、ftp等不要过于的简单;
　　三、设置好网站的目录权限， 用户朋友最好不要把栏目目录设置在根目录，原因是这样进行安全设置会十分的麻烦，在默认的情况下，安装完成后，目录设置如下：
　　(1) data、templets、uploads、a或5.3的html目录，设置可读写，不可执行的权限;
　　(2) 不需要专题的，建议删除special 目录，需要可以在生成HTML后，删除special/index.php 然后把这目录设置为可读写，不可执行的权限;
　　(3) include、member、plus、后台管理目录设置为可执行脚本，可读，但不可写入(安装了附加模块的，book、ask、company、group 目录同样如此设置)。
　　四、data目录路径更改
　　在DedeCMS V5.7中用户也可以设定data目录到上一级非web访问目录，基本操作如下：将data目录移动到上一级目录中，这里直接剪切过去就可以了;然后配置 include/common.inc.php中DEDEDATA文件define('DEDEDATA', DEDEROOT.'/data');可以改成类如：define('DEDEDATA', DEDEROOT.'/../../data');
　　五、其它需注意问题
　　(1) 虽然对install 目录已经进行了严格处理，但为了安全起见，依然建议把它删除;
　　(2) 不要对网站直接使用MySQL root用户的权限，给每个网站设置独立的MySQL用户帐号，许可权限为：
　　SELECT, INSERT , UPDATE , DELETE
　　CREATE , DROP , INDEX , ALTER , CREATE TEMPORARY TABLES
　　由于DEDE并没有任何地方使用存储过程，因此务必禁用FILE、EXECUTE 等执行存储过程或文件操作的权限。

//,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,, 织梦修改
1、phpMyAdmin，PureAdmin移入内网管理
2、织梦安装时修改权限修改
web# chmod -R 777 /usr/home/web/zlf/a/
web# chmod -R 777 /usr/home/web/zlf/data/
web# chmod -R 777 /usr/home/web/zlf/dede/
web# chmod -R 777 /usr/home/web/zlf/plus/
web# chmod -R 777 /usr/home/web/zlf/uploads/
web# chmod 777 /usr/home/web/zlf/
web# chmod 777 /usr/home/web/zlf/install/
web# chmod 777 /usr/home/web/zlf/special/
安装插件web# chmod 777 /usr/home/web/zlf/templets/plus/
web# chmod 777 /usr/home/web/zlf/templets/plus/
web# chmod 777 /usr/home/web/zlf/include/taglib/
web# chmod 777 /usr/home/web/zlf/images/
改回来
web# rm -rf  /usr/home/web/zlf/install/
web# chmod 755 /usr/home/web/zlf/images/
web# chmod 755 /usr/home/web/zlf/include/taglib/
web# chmod 755 /usr/home/web/zlf/templets/plus/

3、禁止uploads和data的运行权限
apache配置文件中加入
<Directory "/usr/home/web/zlf/uploads">
<FilesMatch "\.(php|asp|jsp|js)$">
Deny from all
</FilesMatch>
</Directory>
4、dede内网有运行权限
<Directory "/usr/home/web/zlf/dede">
<FilesMatch "\.(html|htm|php|asp|jsp|js)$">
Deny from all
Allow from 10.48.0.0/16
</FilesMatch>
</Directory>
5、限制部分文件访问
www目录下的所有files.html文件都无法访问
<Directory /www>
<Files files.html>
Order allow,deny
Deny from all
<Files>
</Directory>
6、将data移出网站 （部分功能失效）
7、首页改成动态 （然后可将/文件夹目录权限改成只读）
8、修改部分页面的访问权限 设为内部访问：
如：/plus/search.php
其他
 

站点上级目录：如果要使用后台的目录相关的功能需要有列出目录的权限 //0444站点根目录：需要执行和读取权限 如果要在根目录下面创建文件和目录的话需要有写入权限 //0755install ：安装程序目录：需要有执行和读取权限 建议安装完成以后删除或者改名 //0555/dede ：后台程序目录，需要有执行权限和读取权限 ；建议安装完成以后修改目录名称 //0755/include ：主程序目录，需要有写入、执行权限和读取权限 //0755 ；建议在第一次安装后，去掉写入权限以及修改权限（需要重写配置文件时再暂时开启写入及修改权限）//0555/member ：会员目录，需要执行读取和权限，建议去掉写入权限以及修改权限//0555/plus ：插件目录，需要有读取、写入和执行的权限，建议在生成完站点地图和RSS文件后去掉写入权限以及修改权限 //0755/data ：站点缓存数据等文件，需要有读取权限和写入修改权限，建议去掉执行权限//0755/sessions 需要有读取、写入、修改 和 执行权限 //建议权限为:0777  /html ：HTML文档默认目录，需要有读取修改和创建权限 //建议去掉执行权限 //0666/templets：模板目录，需要有读取 修改写入 权限 //建议去掉执行权限 //0666/uploads ：附件目录，需要写入读取权限 //建议去掉执行权限//0666/company ：企业黄页程序目录，需要读取和执行权限 //建议去掉写入权限//0555/special ：专题文件目录，需要执行、读取、写入和修改权限 //0755/book ：书库模块程序目录，需要执行、读取、写入和修改权限 //0755/ask ：问答模块程序目录，需要执行和读取权限 //建议去掉写入权限//0555/group ：圈子模块程序目录。需要执行和读取权限 //建议去掉写入权限 //0555  在Windows系统，写入、读取权限 在目录属性
版权说明:本站原创文章,由万象互联SEO优化发表.
本文地址:https://www.hulian.top/zixun/post/5225.html
分享到：QQ空间新浪微博腾讯微博微信百度贴吧百度空间搜狐微博
在线咨询
  • 在线时间
  • 8:00-21:00