如何提高Dedecms的安全性
网站安全从来都是服务器配置、文件权限控制和网站程序三者的相互配合，“可执行的文件不允许被修改，可写文件不允许被访问”这是网站权限控制的根本原则，网站程序在“可写文件不允许被访问”方面可做许多工作。就拿Dedecms来说，我们可以在如下几个方面做好保护。1、我们下载并安装了程序之后，首先就是要设置目录权限，这样即使木马突破服务器的限制，我们也让它找不到进一步破坏的地方。我们可以把data、templets、uploads设置为可读写，不可执行权限。把include、member、plus、后台管理目录 设置为可读，可执行，不可写入权限（安装了附加模块的，book、ask、company、group 目录同样如此设置）。
2、改名根目录下的data目录，或者移动到网站目录外面。data目录便是最藏污纳垢的地方，系统经常要往这个目录写数据，这个目录下的任何一个文件都可以通过URL访问到，所以要让浏览器访问不到里面的文件，就需要将此目录改名，或者移动到网站的目录外面去。这样，即使别人通过漏洞往文件里写入了一句话木马，他也找不到此木马所在的文件路径，无法继续展开攻击。因为Dedecms程序的设置，所以改名data目录操作比较复杂，具体做法可以参考：如何将织梦的data目录迁移到根目录以外
3、程序越大、漏洞就越多，我们就需要精简网站，一些不常用的dedecms功能，我们的网站用不到的功能就可以删除。
比如 dedecms的member文件夹是会员系统，用不到可以删除；
special是专题，用不到可以删除；需要可以在生成HTML后，删除。
company是企业功能模块，用不到可以删除；
plusguest/book 是留言板，用不到可以删除；
install是安装程序，install在程序安装完后删除它。(强烈建议删除或者改名)
dede是网站后台管理目录，请把dede改名，越复杂越安全，但是自己一定要记住，最好不要用网站名称之类容易猜到的。后台地址隐藏好，即使别人获得了你的管理员账号、密码，也无法登录。
所有PHP开源程序安全设置都有相通之处，要学会举一反三。不妨学习一下其它开源系统的网站安全设置经验。
4、FTP密码复杂化，如果你的FTP密码很简单，就很容易被黑客猜中。因此尽量将FTP密码设置的复杂一些，最好字母+数字组合，10位以上，让那些破解程序破解去吧（我们空间默认的FTP密码就是复杂随机密码，更改密码之后一定要牢记密码）。
5、网上流传的经典防黑客注入方法（DEDE防注入两方法）
一是将每个目录添加空的index.html，防止目录被访问；
二是给做好网站301页面、403页面、404页面可以禁止访问某页或某文件。
6、多关注官方平台，登录网站后台看看系统主页有没有升级更新的补丁提示，及时更新和升级补丁。友情提示：升级程序之前别忘记了重要数据的备份，包括图片、模板等。
7、最后一点，数据备份。其实即使我们做到了最严格的防范，也不能完全防止被挂马，正所谓道高一尺魔高一丈！所以你的网站数据一定要经常备份。这样就算是网站被黑，也能通过重装程序还原数据，将损失降低到最低，毕竟数据是站长们最宝贵的财富。
转载请注明来源网址：青锋建站-http://www.sjzphp.com/cmsxitong/dedecms/guama_1365.html
