织梦CMS站长工具，从能用到难攻的五个加固层次

夜半时分，机房警报声没有响，但你的网站首页被挂上了暗链，这不是电影桥段，而是织梦（DedeCMS）老站长们最熟悉的噩梦，作为在主机商那儿见过上千个被黑案例的“救火队员”，我太清楚这类开源CMS的软肋了——它给了你自由，也给了攻击者同等的入口，今天这篇文章，不堆砌吓人的术语，只讲五层实实在在的加固动作，让你从“裸奔”变成“带甲”。

第一层：堵住最常见的三个“后门洞”

织梦CMS站长工具，从能用到难攻的五个加固层次

织梦的漏洞大多陈旧且公开，黑客用的都是扫描器批量打的，第一道关口，是解决残留文件问题，很多站长升级时直接覆盖，旧文件如 /uploads 下的测试脚本、/data 目录的备份sql，就成了明晃晃的靶子。立刻删除：根目录的 install 文件夹（安装后必须删）、tools 下的phpmyadmin类工具、以及所有 .bak、.txt 后缀的备份文件，第二，是SQL注入的经典入口，老版本织梦的 plus/flink.php、member/ajax_member.php 存在宽字节注入，如果没打补丁，这是重灾区，请务必登录后台，在“系统”->“核心设置”里，把“ magic_quotes_gpc ”等效的转义功能强制开启，并升级到官方最新的安全版本（目前推荐2021年后的V5.7SP2补丁包），第三，后台弱口令，别笑，我统计过，三成被黑站点的后台密码就是admin加123456，把默认的 /dede 后台目录改名,并且密码至少12位含符号。

第二层：后台安全设置——把“门锁”换成“指纹锁”

登录后台后，别急着发文章，先去 “系统”->“系统基本参数”->“安全选项”：

1. 开启“验证码”，并选择“后台登录验证码”为“增强模式”（算术或滑动），这能挡掉99%的暴力破解。
2. 关闭“模板在线编辑”，这一项是致命伤——攻击者一旦拿到低权限后台账号，就能通过修改模板文件直接写入webshell，在“模板管理”里，把“允许在线修改模板”勾选去掉。
3. 开启“密钥认证”，在“安全选项”里设置一个复杂的“后台认证密钥”，每次登录都会要求额外输入一段随机字符串,相当于动态口令。

第三层：文件权限与目录加固——让木马无处下脚

这是最容易被忽略但最重要的一层，用FTP软件（如FileZilla）连接服务器，按以下标准设置权限（Unix/Linux主机）：

• 目录权限：所有 uploads、data、templets 目录，必须设为 755（所有者可读写执行，组和其他只读执行）。严禁设为777。
• 文件权限：/data/common.inc.php（包含数据库密码）设为 444 只读。/config.cache.bak.php 设为 644。
• 关键目录隔离：在 uploads 目录下，用记事本创建一个名为 .htaccess 的文件，内容写入 php_flag engine off，这样即使黑客上传了PHP木马到图片目录，服务器也会直接拒绝执行，只会显示源码，无法运行，这是针对Apache服务器最管用的一招，如果用的是Nginx，需在对应server块配置 location ~* ^/uploads/.*\.(php|php5)$ { deny all; }。

第四层：被黑后的“黄金两小时”排查与恢复

万一还是被入侵了，别慌，别急着删文件,按顺序做三步：

1. 隔离：先通过主机商面板（不是FTP）立即修改数据库密码和后台密码，并开启登录失败锁定，然后将整站目录下载到本地，但不要覆盖回服务器。
2. 溯源：用Notepad++打开全站文件，搜索特征码，最常用的是搜索 eval(、assert(、$_POST[、base64_decode( 这四类字符串，重点排查 /plus、/include、/templets 目录下的 php 文件，找到非官方文件的最近修改时间，那个时间点前后的访问日志（logs目录）就是攻击者的脚印。
3. 铲除：千万不要在感染的文件上修补，唯一稳妥方案是：从官方源站下载与你当前版本完全一致的安装包，只覆盖 include、plus、member 这三个核心目录的文件，用搜索到的特征码，把所有匹配的文件内容替换为空字符（或者直接删除那些非官方模板文件），后台执行“系统”->“数据库备份”里的“还原”，恢复到被黑前一天的数据快照（前提是你平时有备份）。

第五层：日常维护检查清单（每月一次，十分钟搞定）

1. 看文件：检查根目录是否有名字怪异的 php 文件（如 php、test.html）。
2. 看后台：查看“系统日志”里的登录记录,有无凌晨时段的异地IP登录。
3. 看配置：确认 common.inc.php 中的数据库名、用户名没有被篡改。
4. 看链接：用站长工具（如百度搜索“网站安全检测”）扫描首页源码,看是否有外部异常外链。
5. 做备份：把 data 目录下的 backup 文件夹整个下载到自己的电脑硬盘,这是最后一道保命符。

织梦CMS就像一辆老款越野车，皮实但电子锁容易坏，只要你把油路（文件权限）、电路（后台设置）、防盗器（密钥和日志）都检修好，它依然能陪你跑很远的夜路，安全不是一次性的安装动作，而是每周写进日历里的一个小闹钟，现在就登录你的FTP，从上到下过一遍第三层的权限清单——五分钟后,你的服务器就比昨天难啃多了。