织梦CMS公益站安全运维实战指南，从加固到应急恢复

凌晨三点，老周的手机又响了，一个做乡村图书公益的站长慌慌张张地说，网站首页被挂上了博彩链接，老周叹了口气，这已经是本月第三起织梦公益站被黑的事件了，织梦CMS（DedeCMS）因其上手快、模板多，深受公益组织青睐，但官方早已停止维护，安全风险全压在站长自己肩上，老周就把这些年踩过的坑和压箱底的防护招数,用大白话讲给你听。

织梦常见安全漏洞，到底有哪些？

别被“漏洞”吓到,织梦被黑十有八九是这几个老毛病：

织梦CMS公益站安全运维实战指南，从加固到应急恢复

后台目录暴露：默认后台是 /dede/，黑客用扫描器一扫就知道,改个名字就能挡掉八成脚本小子。
文件上传漏洞：老版本 file_upload.php 等文件没做严格校验,能传伪装成图片的木马。
SQL注入：plus/ 目录下的一些文件（如 guestbook.php、feedback.php）参数过滤不严,可被注入拖库。
变量覆盖：早期版本 common.inc.php 存在变量覆盖,能直接改数据库配置。
弱口令与默认账号：admin/admin 这种,等于把钥匙插在门上。

后台安全设置，四步锁死入口

重命名后台目录：把 /dede/ 改成只有你知道的名字，/mygongyi_admin/，同时修改 /data/admin/config.cache.php 里的后台路径常量（若存在）。
强密码+验证码：后台密码至少16位，混合大小写、数字、符号，开启后台登录验证码（系统→系统设置→验证码设置）。
绑定后台IP：在 /dede/config.php 或服务器防火墙里，只允许你常用IP访问后台，公益站管理员少,这个最管用。
删除无用文件：装完站立刻删掉 /install/ 目录，以及 /dede/ 下用不到的 file_manage.php 等。

文件权限与目录加固，给站点上把锁

Linux服务器上，记住这个原则：能读不能写,能写不能执行。

目录权限：所有目录设为 755，/data/、/uploads/、/html/ 这些需要写入的设为 755 但属主是Web用户。
文件权限：普通文件 644，配置文件 config.php 设为 444（只读）。
禁止PHP执行：在 /uploads/、/data/ 下放一个 .htaccess（Apache）或配置Nginx：
```
location ~* /(uploads|data)/.*\.(php|php5)$ { deny all; }
```
关闭危险函数：PHP配置里禁用 exec、system、passthru、eval 等。
目录列表：确保 Options -Indexes 生效,防止别人直接浏览你的文件列表。

被黑了怎么办？别慌，按顺序来

立即下线：先关站或切到维护页,防止用户数据继续泄露。
备份现场：把整站打包下载，数据库导出，留作分析（别急着删）。
查后门：用 D盾 或 河马 扫描，重点看 /uploads/、/data/、/plus/ 里近期修改的 .php 文件，常见后门名如 php、shell.php、x.php。
查数据库：搜索 dede_sysconfig 表里 cfg_webname 等是否被改，检查 dede_admin 表是否多了管理员账号。
恢复：从被黑前的干净备份恢复，如果没有备份，先彻底清马，再改所有密码（数据库、后台、FTP），最后打上官方补丁（虽然停更，但历史补丁包有用）。
复盘：查日志，看入口是哪里,堵住它。