一对一免费咨询: 13913005726 025-66045668

这两天,自己网站被挂马了,我狂晕,include下面的dedeajax2.js总是被人插马,郁闷,先是只能在模板里面把dedeajax2.js的调用去掉,然后再找想解决办法,因为是5.3,我估计多半是评论的时候被插入的马,但是5.3不能关闭评论,最新版本的5.5可以关闭评网站设计 建设论文手机网站建设论,这样的话无法根本解决安全问题。然后排查网站目录权限,网站目录是单独的IIS帐号,而且只给了,这个帐号读写权限,以前这样做,基本上没有问题,今天织梦发了一篇柏拉图的喷精贴,看了之后,发现原来自己很多细节的安防没有设置好:

1、目录权限

我们不建议用户把栏目目录设置在根目录, 原因是这样进行安全设置会十分的麻烦, 在默认的情况下,安装完成后,目录设置如下:

(1) data、templets、uploads、a或5.3的html目录, 设置可读写,不可执行的权限;

(2) 不需要专题的,建议删除 special 目录, 需要可以在生成HTML后,删除 special/index.php 然后把这目录设置为可读写,不可执行的鸡西网站建设公司权限;

(3) include、member、plus、后台管理目录 设置为可执行脚本,可读,但不可写入(安装了附加模块的,book、ask、company、group 目录同样如此设置)。

2、其它需注意问题

(1) 虽然对 install 目录已经进行了严格处理, 但为了安全起见,我们依然建议把它删除;

(2) 不要对网站直接使用MySQL root用户的权限,给每个网站设置独立的MySQL用户帐号,许可权限为:

SELECT, INSERT , UPDATE , DELETE

CREATE , DROP , INDEX , ALTER , CREATE TEMPORARY TABLES

由于DEDE并没有任何地方使用存储过程,安庆网站建设公司因此务必禁用 FILE、EXECUTE 等执行存储过程或文件操作的权限。

自己说明一下啊,以上的安防设置基本上把程序的权限做到了最严密了,我用自己的一句话概括这样的设置是:所有能够执行脚本的文件只能读,不能写,能够写入的文件却不能执行脚本,这样做的效果是尽可能的做到最严密的设置。

至于数据库设置,最好是但对开一个MYSQL帐号,而且权限设置仅限于操作MYSQl目录,给予单独的MYSQL帐号去掉file和EXECUTE执行权限,这样即使SQL注入,也只能到数据库一级,无法拿到服务器权限,数据库经常备份即可。。。。

那么继续观察,这样设置之后,网站是否还会被挂马了。

高手走过路过,一点粗浅的东西,不要笑话小弟。作者:fashionwind


 


 南京牧狼文化传媒有限公司简介:


      牧狼传媒,牧者之心,狼者之性,以牧之谦卑宽容之心待人,以狼之团结无畏之性做事!


  公司注册资金100万,主营众筹全案服务、网站营销全案服务、网站建设、微信小程序开发、电商网店设计、H5页面设计、腾讯社交广告投放以及电商营销推广全案等相关业务,致力于为客户提供更有价值的服务,创造让用户满意的效果!


  为百度官方及其大客户、苏宁易购、金山WPS秀堂、美的、创维家电、新东方在线、伊莱克斯、宝丽莱等国内国外知名品牌服务过,服务经验丰富!同时,公司也是南京电子商务协会会员单位、猪八戒网官方认证签约服务商、江苏八戒服务网联盟、南京浦口文化产业联合会会员单位,可以为您提供更好的服务!


  主营项目:众筹全案服务、网站营销全案服务、网站建设、微信小程序开发、电商网店设计、H5页面设计、腾讯社交广告投放、竞价托管、网站优化、电商代运营等


  合作客户:百度、苏宁易购、饿了么、美的、创维家电、新东方在线、宝丽莱、金山WPS秀堂、伊莱克斯


  资质荣誉:百度商业服务市场2017年度最佳图片服务商、南京电子商务协会会员单位、猪八戒网官方认证签约服务商、江苏八戒服务网联盟、南京浦口文化产业联合会会员单位、八戒通TOP服务商、"易拍即合杯"H5创意大赛"三等奖"。



致力于为客户创造更多价值
13913005726 025-66045668
需求提交
电话咨询
在线咨询