dedecms迁移到其他CMS安全评估_强密码与权限分离_安全设置防复发_详细教程
很多使用dedecms的站长都有过被挂马的经历：首页被篡改、被植入黑链、被跳转赌博色情网站、被植入webshell。dedecms被入侵的原因通常不是单一漏洞，而是多个安全隐患的叠加：版本过旧存在已知漏洞、后台路径默认被暴力破解、上传目录未限制PHP执行、管理员弱密码、plus目录下的测试文件未删除。做好全面的安全设置，能大幅降低被入侵的风险。
第二项是后台登录安全设置。登录后台后，进入系统-系统用户管理，修改管理员密码为强密码（12位以上，包含大小写字母、数字和特殊符号）。不要使用admin作为用户名，创建一个新的管理员账户，删除默认的admin账户。在系统-系统基本参数-互动设置中，开启后台登录验证码。在系统-系统日志中，定期查看后台登录日志，发现异常登录及时处理。有条件的话，通过.htaccess限制后台目录只能特定IP访问。
第三项是目录权限设置。dedecms的目录权限按照以下原则设置：根目录下的index.php、tags.php等入口文件设置为644。include、member、plus、special、templets目录设置为755，其中的PHP文件设置为644。data目录需要写入权限，设置为755，但其中的配置文件config.php设置为600。uploads目录（上传目录）设置为755，必须在该目录中禁止执行PHP。a目录（生成的静态文件目录）设置为755。dede（后台）目录设置为755，其中的文件设置为644。
第五项是删除不必要的文件和目录。dedecms安装包中包含一些测试文件和示例文件，这些文件可能存在安全风险，安装完成后应该删除。需要删除的包括：install目录（安装目录，安装后必须删除）、dede目录下的test_*.php文件、plus目录下的一些不常用功能文件（如guestbook.php、post.php、feedback.php如果不需要留言功能）、member目录如果不需要会员功能可以整个删除或限制访问。删除前确认这些功能确实不需要，避免影响网站正常运行。
第八项是模板安全设置。dedecms的模板文件存储在templets目录中，模板中可能存在SQL注入和XSS漏洞。检查模板文件中的dede:sql标签，确保SQL语句中使用了安全的参数传递，不要直接拼接用户输入。检查模板中的dede:field标签，对于可能包含用户输入的字段，使用function='htmlspecialchars'进行HTML转义，防止XSS。模板文件设置为644权限，不要设置为可写，防止被篡改。定期检查模板文件的修改时间，发现异常修改及时恢复。
第十一项是定期升级和维护。dedecms的官方会不定期发布安全更新，需要关注官方公告，及时升级。升级前备份数据库和程序文件，在测试环境验证升级后功能正常，再部署到生产环境。dedecms的最后一个版本是V5.7，官方已经停止维护，这意味着未来不会有新的安全更新。对于仍然在使用dedecms的站长，需要认识到这个风险，要么加强自身防护，要么考虑迁移到其他 actively 维护的CMS（如WordPress、帝国CMS、PageAdmin等）。
运维案例：一个客户的dedecms站点被入侵，数据库中所有文章都被植入了黑链。处理时不仅清除了文件层面的木马，还批量清理了数据库中的恶意代码，修改了表前缀和数据库密码，同时将data目录移到了Web根目录之外。后续虽然仍然有扫描和攻击尝试，但都没有成功入侵。
安全提示：dedecms已经停止官方维护，不会再有新的安全更新，这意味着未来发现的新漏洞不会被修复。对于重要的商业网站，建议制定迁移计划，逐步迁移到 actively 维护的CMS。迁移前加强WAF防护和入侵检测，降低被入侵的风险。
更新时间：2026-08-26 21:14:11