谈谈网站安全性的问题

       刚入职没多长时间，网站一直有人上传木马，类源基本网站一直处在被人攻击的码q码状态，纠结阿。程网一直忙着解决这问题了。站源今天好不容易有些成就，网站致一完整源码就拿出来和大家分享一下，类源如果大家有什么好的码q码方法，可以教教我.这两天为了这事儿头疼死了.

       网站现在大体的程网情况是dede+smarty开发的博客系统+dz，百度和谷歌的站源权重都在5左右，所以访问量还是网站比较大的。

       dede公认的类源漏洞比较多，而且接手的码q码茶杯犬源码这个dede还二次开发过。所以短时间内找漏洞是程网不太可能了，如果有朋友之类的站源话，可以让他们一起检测，毕竟一个人太麻烦了，或者加我QQ

       1.网站目录安全性

       1所有的目录可以设置权限，css和images文件，查看外挂源码css可以设置读写权限，不给执行权限，css经常改的话给写权限，文件只给读的权限就可以了,去掉所有不用经常改的PHP文件写入权限，不给任何攻击者将代码写入php中的机会

       2经常扫描是否有特殊后缀或者新被上传的文件，看源码,婴儿溯源码尤其是inc后缀的

       2.网站安全检测

       网站安全检测，这个还是比较好使的，不过有没有其他的想法就不知道了，哈哈检测完了有修复的提示。

       2自己写一个检测网站木马文件的脚本，网上也有，他本身就是elsa 源码分析木马，找一个没有后门之类的，上传上去，自己检测。这个还是非常不错的。看清楚源码以后删除木马文件。

       3使用DOMAIN3.5之类的上传注入软件自己测试一下网站。

       3.修改服务器配置增加安全性

       1在apache配置文件中禁止一些目录执行php文件的权限，比如uploads/,html/等。下面是一个例子:

        双击代码全选

       1

       2

       3

       4

       5

       6

       Directory "/usr/local/apache2/htdocs/uploads"

       Files ~ ".php"

       Order allow,deny

       Deny from all

       /Files

       /Directory

        2有些不希望别人访问的目录也直接禁止掉。

       3修改php.ini的disable_functions添加禁止的函数，如

       system,exec,shell_exec,passthru,proc_open,proc_close, proc_get_status,checkdnsrr,getmxrr,getservbyname,getservbyport, syslog,popen,show_source,highlight_file,dl,socket_listen,socket_create,socket_bind,socket_accept, socket_connect, stream_socket_server, stream_socket_accept,stream_socket_client,ftp_connect, ftp_login,ftp_pasv,ftp_get,sys_getloadavg,disk_total_space, disk_free_space,posix_ctermid,posix_get_last_error,posix_getcwd, posix_getegid,posix_geteuid,posix_getgid, posix_getgrgid,posix_getgrnam,posix_getgroups,posix_getlogin,posix_getpgid,posix_getpgrp,posix_getpid, posix_getppid,posix_getpwnam,posix_getpwuid, posix_getrlimit, posix_getsid,posix_getuid,posix_isatty, posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid, posix_setpgid,posix_setsid,posix_setuid,posix_strerror,posix_times,posix_ttyname,posix_uname

       4.其他方式

       1.打补丁，尤其是坑爹的dede

       2。经常修改服务器的帐号密码，ftp帐号密码，最好用sftp

       3.最好把dede后台的文件管理器关闭，还有dede数据库备份还原。以及文章里的上传之类的全部做过滤，禁止上传其他格式，尤其是php格式的文件。

       4.对linux服务器不是特别懂，所以就先不说这个了。以后学成了再和大家讨论

自己如何做网站？

自己做网站的步骤如下：

       1、域名注册。网站建设首先你需要一个属于你自己的网址，也就是域名。

       2、网站空间注册。网站空间是用来放网站程序的。网站空间分为ASP、PHP、NET，三种类型。

       3、网站备案

       å›½å†…的网站空间都需要备案，没有备案的网站不允许上线。

       4、上传网站程序

       ç½‘上有很多免费网站程序，论坛（discuz）、博客（Emlog、WordPress、Z-blog）、综合站（PageAdminCMS系统）等，根据自己的网站来选择程序。

       5、添加网站内容。我们可以在备案期间来完成网站内容添加，添加网站内容也是比较简单。进入网站后台新建网站栏目，自己需要几个栏目就建几个。

       6、解析域名和绑定域名。备案号后通过我就可以把域名解析到空间IP上了，域名解析完成后，再在空间的管理面板上把解析好的域名绑定。在地址栏输入你的域名。就可以访问到你的网站。