织梦CMS常见漏洞修复

# 织梦CMS常见漏洞修复

织梦CMS（DedeCMS）历史上存在多个已知漏洞，需要及时修复。

## 一、后台弱口令

– 默认账号：admin
– 默认密码：admin
– **修复：** 立即修改为强密码

## 二、SQL注入漏洞

### /plus/guestbook.php
早期版本存在SQL注入漏洞。
**修复：** 更新到最新版本，或限制该文件访问

### /plus/search.php
搜索参数未过滤。
**修复：** 升级到官方补丁版本

## 三、文件上传漏洞

– 后台允许上传PHP等可执行文件
– **修复：** 在后台设置中限制上传文件类型
– data/uploadsafe.inc.php 中添加禁止类型

## 四、XSS跨站脚本

– 用户输入未过滤直接输出
– **修复：** 对所有用户输入进行HTML转义

## 五、目录遍历漏洞

– data、templets等目录可能被直接访问
– **修复：** 在这些目录下放空index.html
– 在Nginx/Apache中配置禁止直接访问

## 六、修复建议

| 措施 | 操作 |
|——|——|
| 升级版本 | 更新到DedeCMS最新版 |
| 修改密码 | 使用强密码+限制IP |
| 限制后台IP | Nginx配置允许特定IP访问后台 |
| 删除无用文件 | 删除测试文件和不必要的plus文件 |
| 定期备份 | 每日备份（自动脚本） |
| 安装WAF | 配置Web应用防火墙 |

## 七、安全加固

– 删除 /install 目录
– 修改后台默认路径（dede → 自定义）
– 配置Nginx限制后台访问
– 开启防注入功能（系统设置 → 安全配置）