Comment définir des restrictions sur l'exécution DEDECMS des scripts php

Comment définir des restrictions sur l'exécution DEDECMS des scripts php ?

dedecms est un très bon programme CMS, et la dernière version est la 5.7. Après de nombreuses versions de mises à niveau et d'ajouts de fonctionnalités, dedecms rencontre encore de nombreux problèmes. Cela ne veut pas dire que DEDECMS n’est pas bon. Relativement parlant, dede est très bon, simple et facile à utiliser, et a profité à de nombreux webmasters de petite et moyenne taille.

Apprentissage recommandé : Dreamweaver cms

Je n'ai pas mis à jour mon blog depuis longtemps et aujourd'hui, je souhaite parler des paramètres de sécurité DEDECMS. Les amis qui utilisent dedecms doivent avoir rencontré le piratage du site Web. Soit de nombreux liens sont ajoutés à chaque page, soit des redirections malveillantes sont ajoutées au js.

Une brève discussion sur les paramètres de sécurité DEDECMS :

1. Utilisez autant que possible l'espace PHP pur de l'hôte Linux Si l'hôte Windows peut exécuter ASP, ce sera plus dangereux.

2. N'utilisez pas admin comme nom d'utilisateur pour la gestion de la connexion backend. Vous pouvez le remplacer par autre chose.

3. L'attribut du fichier data/common.inc.php (Linux/Unix) est défini sur 644 ou (Windows NT) est défini sur lecture seule.

4. Limiter l'exécution de scripts PHP pour les répertoires de téléchargements, de données et de modèles.

5. N'installez pas de modèles provenant de sources inconnues ou d'autres fichiers qui doivent être téléchargés sur FTP. Vous devez d'abord installer un antivirus, puis l'installer.

6. Utilisez la dernière version du programme Même si ce n'est pas la dernière, vous devez toujours faire attention aux correctifs officiels et les appliquer à temps.

7. Il est préférable de ne pas utiliser le système d'adhésion si vous le pouvez. Vous pouvez directement supprimer le dossier membre et fermer la fonction d'adhésion en arrière-plan. Si vous souhaitez vraiment l'utiliser, vous devez définir s'il faut autoriser les membres à télécharger des pièces jointes autres que des images. Réglez-le sur Non pour limiter strictement les utilisateurs, car il existe de nombreuses machines d'enregistrement de spam qui enregistrent de nombreux noms d'utilisateur par jour. (Recommandé par les touristes : supprimez le dossier d'adhésion des membres sans utiliser le système d'adhésion)

La méthode de restriction du script php d'exécution du répertoire de configuration de l'hôte/espace virtuel : deux méthodes de configuration de l'environnement Apache et de l'environnement nginx

Pour les téléchargements, les trois répertoires de données et de modèles sont limités à l'exécution de scripts PHP. Même si des fichiers chevaux de Troie sont téléchargés dans ces dossiers, ils ne pourront pas s'exécuter, cette étape est donc très importante et doit être définie.

Avant de configurer, vous devez confirmer si votre espace prend en charge .htaccess et la réécriture. Cette méthode est basée sur l'utilisation de la réécriture dans le fichier .htaccess pour empêcher l'exécution du script spécifié.

Le contenu des règles de l'environnement Apache est le suivant : Apache exécute les restrictions du script php Ajoutez ces règles au fichier .htaccess

Le code est le suivant :

RewriteEngine on RewriteCond % !^$ 
RewriteRule uploads/(.*).(php)$ – [F] 
RewriteRule data/(.*).(php)$ – [F] 
RewriteRule templets/(.*).(php)$ –[F]

Le contenu des règles d'environnement nginx est le suivant : Exécution de nginx Restrictions du script PHP

Un inconvénient de LNMP est qu'il n'est pas aussi efficace qu'Apache dans la définition des autorisations de répertoire. Parfois, les programmes de sites Web présentent des vulnérabilités de téléchargement ou de type pathinfo. vulnérabilités, qui conduisent au téléchargement de chevaux de Troie PHP, ce qui entraîne un plus grand danger pour le site Web et le serveur. Il est recommandé de supprimer les autorisations PHP du répertoire du site Web. Lors de l'accès aux fichiers PHP dans le répertoire de téléchargement, une erreur 403 sera renvoyée.

Modifiez d'abord la configuration de l'hôte virtuel de nginx et ajoutez le contenu suivant devant l'instruction de localisation de fastcgi :

Le code est le suivant :

location ~ /(data|uploads|templets)/.*\.(php|php5)?$ { 
deny all; 
}

C'est tout, Après avoir fait cela, il ne devrait y avoir aucun problème et c'est largement suffisant ! Il est recommandé aux amis qui utilisent dedecms de prendre le temps de le configurer.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!