dedecms是好用，優化也好，就是不安全，個人是這樣認為的，今天 閑着沒事
整理了一些有助於dedecms網站安全的一些設置，可以說是目前最全的dedecms安全設置！
其一：保持DEDE更新，及時打補丁。
安裝的時候數據庫的表前綴，最好改一下，不用dedecms默認的前綴dede_,可以改成ANW_,隨便一個名稱即可。
后台登錄開啟驗證碼功能，將默認管理員admin刪除，改成一個自己專用的，復雜點的賬號。
用不到的功能一概關閉，比如會員、評論等，如果沒有必要通通在后台關閉。
data、templets、uploads、a每個版本下的html目錄， 設置可讀寫，不可執行的權限；
其二：裝好DEDE后及時把install文件夾刪除
其三：管理目錄改名，最好是改成MD5形式的，最好長點
其四：https://www.cnblogs.com/harlanzhang/p/6236838.html dedeCMS漏洞修復
其五：如果是使用HTML可以把plus下的相應文件和根目錄下的index.php做掉（用不到的全刪掉，還可以把數據庫里面不用的表刪除掉）
其六：不用留言本的可以把/plus下的guestbook做掉
其七：不用會員的可以把member做掉
其八：后台的文件管理（管理目錄下file_manage_xxx.php），不用的可以做掉，這個不是很安全，至少進了后台上傳小馬很方便
其九：下載發布功能（管理目錄下soft__xxx_xxx.php），不用的話可以做掉，這個也比較容易上傳小馬的
最安全地方式：本地發布html，然后上傳到空間。不包含任何動態內容，理論上最安全。
第一：掛馬前的安全措失
a、改更默認管理目錄dede。
b、檢查install目錄里是否存在install.lock文件。有用戶沒給install目錄寫權限導致安裝的時候沒有生成lock文件。安裝完成后可整個刪除intstall目錄。
c、關注后台更新通知，檢查是否打上最新dedeCMS補丁
d、服務器web目錄權限設置
有條件的用戶把DedeCms中data、templets、uploads、html、special、images、install目錄設置為不允許執行腳本，其它目錄禁止寫入，系統將更安全。
e、建議到官方下載程序
f、服務器安全措施(以windows2003系統為例)
1、更新系統補丁到最新的，並打開自動更新
2、安裝殺毒軟件，更新病毒庫到最新，並打開自動更新
3、打開系統自帶的防火牆，開放應用中的端口，以過濾不必要的端口訪問
4、打開tcp/ip安全策略，開放應用中的端口，以過濾不必要的端口訪問
5、打開用戶與用戶組管理，添加IUSR用戶對應不同WEB站點，以便分權限管理減少因一站點被黑帶來的權限危機
6、針對不同的WEB目錄設置不同的權限
例：WebSiteA目錄對應權限一般為system/administrators完全權限 IUSR_websiteA只讀權限
WebsiteA下面的子目錄根據DedeCMS程序的需求分配IUSR_websiteA的寫入運行權限，詳見上面b點目錄權限說明
7、不要在服務器上安裝不明來路的軟件
8、不要在服務器上安裝什么破解版漢化版軟件，如果實在需要建議用原版
9、建議不要安裝ServU FTP軟件，換用其它的FTP軟件，更改FTP端口，用戶密碼不要太簡單
10、如果不需要請盡量關閉服務應用的遠程訪問功能，如mysql user的遠程訪問
11、針對上面一點，可以運用本地安全策略功能，設置允許訪問IP。
12、運用本地安全策略，還可以有效拒絕CC攻擊，過濾來源IP的訪問。
13、服務器上各項服務應用注意及時更新補丁，如mssql切記打補丁，而且要使用正版的，沒條件的也要使用正規的復制版本
14、服務器上的各項應用如IIS配置mysql配置，請搜索百度谷歌這方面的安全應用的專題，加強內功是很重要的。
15、開啟IIS的訪問日志記錄
第二：掛馬后的安全檢查
必要時關閉網站進入一步步排查
a、進DedeCMS管理后台檢查是否有新補丁或安全提醒沒有及時更新。
b、檢查源文件中是否有相應木馬病毒代碼，以確認是否為ARP攻擊
ARP攻擊表現：程序文件毫無異動，攻擊是采用欺騙目標網關以達到欺騙用戶端的效果，實現用戶端訪問網站加載木馬的目的。
ARP攻擊防范：對服務器加裝防ARP攻擊類的軟件及其它應對措施，或聯系您的IDC服務商。
c、檢查目錄權限，詳見第一大點里的安全措施。
d、檢查FTP里的每一個目錄，查找最近被修改過的可疑文件。
1、用記事本等類工具打開查找，如果是真被掛馬，這里分析下都能找到。
2、如果是整站被掛，請着重先檢查下整站調用的js文件。
3、從文件中找出被掛的代碼，復制代碼的關鍵語句部分，打開替換類軟件批量替或批量找吧。
4、上面一步需要有服務器控制權限，沒有的話只能下載回來批了。(這是謹慎的辦法，如果你有把握那可以只檢查部分文件或目錄)
e、上面還是解決不了，那得分析IISLOG日志，追根朔源查找入侵點。
你可以下載IISlog分析類軟件研究。
第三：如何向官方求助或報告安全問題？
1、查看木馬、可疑文件的修改時間
2、查看站點系統日志，對照第1點所獲得的時間，找出掛馬的方式。
3、請先認真閱讀理解一二大點，確認仍無法解決的，請論壇獲取技術支持 第四：安裝一些必要的第三方插件，及時監控
【dedecms網站安全】如何防止dedecms網站被DDos攻擊
第二步：編輯，/member/config.php 在require_once(DEDEINC.'/dedetemplate.class.php');下添加代碼
if($cfg_anquan_cc == 'Y'){ //php防CC攻擊 在3秒內連續刷新頁面5次以上將指向本機 http://www.ainiu.net/404.htm $P_S_T = $t_array[0] + $t_array[1]; $timest amp = time(); session_start(); $ll_nowtime = $timestamp ; if (session_is_registered('ll_lasttime')){ $ll_lasttime = $_SESSION['ll_lasttime']; $ll_times = $_SESSION['ll_times'] + 1; $_SESSION['ll_times'] = $ll_times; }else{ $ll_lasttime = $ll_nowtime; $ll_times = 1; $_SESSION['ll_times'] = $ll_times; $_SESSION['ll_lasttime'] = $ll_lasttime; } if (($ll_nowtime - $ll_lasttime)<3){ if ($ll_times>=5){ header(sprintf("Location: %s",'http://www.ainiu.net/404.htm')); exit; } }else{ $ll_times = 0; $_SESSION['ll_lasttime'] = $ll_nowtime; $_SESSION['ll_times'] = $ll_times; } }
一、目錄權限
根據統計，絕大部分網站的攻擊都在根目錄開始的，因此，欄目目錄不能設置在根目錄。
DEDECMS部署完成后，重點目錄設置如下：
1）將install刪除。
2) data、templets、uploads、a或html目錄， 設置可讀寫，取消執行的權限（Windows如何設置目錄的權限？）；當然對於data文件夾還有更好的解決辦法，那就是將data移出站點的根目錄。
3) 如果網站下不需要專題的，必須刪除 special 目錄。如果需要的話，有網友是這樣建議的：生成HTML后，備份special/index.php后將其刪除，然后把這目錄設置為可讀寫，不可執行的權限；但是，這樣做比較麻煩，因為每次生成后就把需要將index.php文件刪除，下次執行“生成”的時候又需要把他還原回來。
4) include、member、plus、后台管理目錄設置為可執行腳本，可讀，但不可寫入（安裝了附加模塊的，book，ask，company，group 目錄同樣如此設置）。
二、其它需注意問題
1) 非萬不得已的情況下，不要對網站直接使用MySQL root用戶的權限，一般情況是，都是一個網站對應一個mysql用戶，許可權限為：
SELECT, INSERT , UPDATE , DELETE
CREATE , DROP , INDEX , ALTER , CREATE TEMPORARY TABLES
由於DEDE並沒有任何地方使用存儲過程，因此務必禁用 FILE、EXECUTE 等執行存儲過程或文件操作的權限。
三、經常留意dede的官方網站，及時打好dede補丁。
-----------------------------------------------下面是一些文件權限設置-------------------------------------------------------------
用戶織夢建站，網站安全不可忽視。給大家分享織夢各目錄的安全設置教程。以供參考。
/ 【站點上級目錄】
假如要使用后台的目錄相關的功能需求有列出目錄的權限 //0444
/ 【站點根目錄】
需求執行和讀取權限 假如要在根目錄下面創建文件和目錄的話需求有寫入權限 //0755
/install 【安裝程序目錄】
需求有執行和讀取權限 //建議安裝完成以后刪除或者改名 //0555
/dede 【后台程序目錄】
需求有執行權限和讀取權限 //建議安裝完成以后修正目錄名稱 //0755
/include 【主程序目錄】
需求有寫入、執行權限和讀取權限 //0755 //建議在第一次安裝后，去掉寫入權限以及修正權限(需求重寫配置文件時再暫時開啟寫入及修正權限)//0555
/member 【會員目錄】
需求執行讀取和權限 //建議去掉寫入權限以及修正權限//0555
/plus 【插件目錄】
需求有讀取、寫入和執行的權限 //建議在生成完站點地圖和RSS文件后去掉寫入權限以及修正權限 //0755
/data 【站點緩存數據等文件】
需求有讀取權限和寫入修正權限 //建議去掉執行權限//0666
/html 【HTML文檔默認目錄】
需求有讀取修正和創建權限 //建議去掉執行權限 //0666
/templets【模板目錄】
需求有讀取 修正寫入 權限 //建議去掉執行權限 //0666
/uploads 【附件目錄】
需求寫入讀取權限 //建議去掉執行權限//0666
/company 【企業黃頁程序目錄】
需求讀取和執行權限 //建議去掉寫入權限//0555
/special 【專題文件目錄】
需求執行、讀取、寫入和修正權限 //0755
/book 【書庫模塊程序目錄】
需求執行、讀取、寫入和修正權限 //0755
/ask 【問答模塊程序目錄】
需求執行和讀取權限 //建議去掉寫入權限//0555
/group 【圈子模塊程序目錄】
需求執行和讀取權限 //建議去掉寫入權限 //0555