织梦 DedeCMS 防黑客攻击精简加固教程

织梦网站被黑常见原因：默认后台目录被扫描、上传目录执行木马脚本、老旧版本漏洞、第三方模板带后门、弱密码暴力破解。下面按步骤做基础加固。

一、清理冗余危险文件

1. 删除安装目录install，防止恶意重装网站
2. 非会员站点可删除member会员模块文件夹，减少上传漏洞入口
3. 清理无用插件、留言板、投稿模块、探针文件，减少漏洞入口
4. 保护核心配置文件 /data/common.inc.php，Linux 主机设置只读权限

二、修改默认后台入口，防止暴力破解

1. 修改默认dede后台文件夹名称（不要用 admin、manage 这类简单名称，改用随机字符），杜绝批量扫描
   • 修改后用新地址访问后台
2. 设置强密码：大小写字母 + 数字 + 符号，删除多余管理员账号
3. 开启后台验证码，限制异地 IP 访问后台（可利用 Nginx / 防火墙设置 IP 白名单）
4. 不要长期开放 FTP，用完及时关闭，设置复杂 FTP 密码

三、禁止 uploads 目录运行 PHP 木马（核心防护）

上传目录是黑客植入 webshell 的高频位置，禁止 uploads 目录执行 PHP 脚本

Nginx 配置

<pre class="language-nginx"><code> location ~* ^/uploads/.*\.php$ { deny all; } </code></pre>

Apache .htaccess（uploads 目录放置）

<pre class="language-apache"><code> php_flag engine off </code></pre>

• 仅允许 jpg/png 等图片格式上传，禁止 php 脚本上传运行
• 模板目录设置只读权限，防止被植入黑链 JS

四、修复漏洞与服务器防护

1. 不要使用超老旧版本和 PHP8，推荐 PHP7.1/7.4 稳定版本，及时打官方安全补丁
2. 关闭前台评论、自助投稿功能，过滤用户输入内容，减少 XSS、SQL 注入风险
3. 接入 CDN / 云防护，隐藏真实服务器 IP，拦截 CC 攻击和恶意扫描
4. 使用 D 盾、安全狗定期全盘查杀 webshell 木马，检查页面隐藏黑链、iframe 恶意代码
5. 关闭 MySQL 远程访问，不要直接使用 root 账号运行网站，修改默认数据库前缀

五、定期备份网站和数据库

1. 每日自动备份 MySQL 数据库，备份文件异地存储（本地 / 云盘，不要仅存服务器）
2. 单独备份干净原版模板，防止模板被篡改无法恢复
3. 定期验证备份可正常恢复，防止备份损坏
4. 全站开启 HTTPS SSL 证书，防止流量劫持篡改网页

六、被黑后应急处理

1. 临时关闭网站，全盘查杀木马后门
2. 恢复干净模板与数据库备份，修改全部后台、FTP、数据库密码
3. 修复漏洞，完成加固后再上线，提交死链恢复收录权重

七、日常运维要点

1. 不要安装来路不明的模板、插件（绝大多数木马来自第三方模板）
2. 定期查看源码、服务器日志，拉黑高频恶意 IP
3. 定期修改密码，保持服务器及程序环境更新
4. 遵循最小权限原则配置网站目录权限

总结

织梦防黑核心 4 点：修改后台默认路径、禁止 uploads 运行 PHP 木马、做好备份、查杀第三方模板木马。做好以上设置可大幅降低被黑风险，避免网站挂马篡改、数据丢失。

本文配套模板、静态源码可前往艾立兹素材库alisucai.com下载