织梦(Dede)Cms万能安全防护代码

1、保持DEDE更新，及时打补丁。
2、装好DEDE后及时把install文件夹删除
3、管理目录改名，最好是改成MD5形式的，最好长点
4、如果是使用HTML可以把plus下的相应文件和根目录下的index.php做掉（用不到的全删掉，还可以把数据库里面不用的表删除掉）
5、不用留言本的可以把plus下的guestbook做掉
6、不用会员的可以把member做掉
7、后台的文件管理（管理目录下file_manage_xxx.php），不用的可以做掉，这个不是很安全，至少进了后台上传小马很方便
8、下载发布功能（管理目录下soft__xxx_xxx.php），不用的话可以做掉，这个也比较容易上传小马的

9、DedeCms 万能安全防护代码

打开config_base.php
找到

//禁止用户提交某些特殊变量
$ckvs = Array('_GET','_POST','_COOKIE','_FILES');
foreach($ckvs as $ckv){
    if(is_array($$ckv)){
        foreach($$ckv AS $key => $value)
           if(eregi("^(cfg_|globals)",$key)) unset(${$ckv}[$key]);
    }
}

改为下面代码:

//把get、post、cookie里的<? 替换成 <?
$ckvs = Array('_GET','_POST','_COOKIE');
foreach($ckvs as $ckv){
    if(is_array($$ckv)){
        foreach($$ckv AS $key => $value)
          if(!emptyempty($value)){
              ${$ckv}[$key] = str_replace('<'.'?','&'.'lt;'.'?',$value);
              ${$ckv}[$key] = str_replace('?'.'>','?'.'&'.'gt;',${$ckv}[$key]);
          }
          if(eregi("^cfg_|globals",$key)) unset(${$ckv}[$key]);
    }
}
//检测上传的文件中是否有PHP代码，有直接退出处理
if (is_array($_FILES)) {
  foreach($_FILES AS $name => $value){
     ${$name} = $value['tmp_name'];
     $fp = @fopen(${$name},'r');
     $fstr = @fread($fp,filesize(${$name}));
     @fclose($fp);
     if($fstr!='' && ereg("<\?",$fstr)){
           echo "你上传的文件中含有危险内容，程序终止处理！";
           exit();
     }
  }
}

  这样处理之后，安全上理论上可中做到一劳永逸，但缺点是使用此功能后，不能在线上传PHP文件，如果你的站点同时支持asp、aspx等，在此基础上修改一下上述代码即可