织梦后台防黑设置全攻略：新手也能堵死99%的黑客入侵漏洞

说真的，我当年刚玩织梦建土特产站的时候，真把这系统当傻白甜了，以为装完模板传完内容就能躺着收流量，结果仨月被黑了三回，首页被挂的博彩链接比我村大喇叭喊的麻将馆广告还多，百度收录直接掉了80%，哭都没地方哭。后来花了俩礼拜蹲论坛啃教程，把能整的织梦后台防黑设置全捣鼓了一遍，至今俩年没出过幺蛾子。今天就把我踩过坑的织梦后台防黑设置干货全给你唠明白，都是亲测好使的招，别嫌麻烦，整完你就知道啥叫睡得香。

先给织梦后台换个“防盗安全门”：基础身份校验先焊死

咱先唠最基础的，很多人被黑纯粹是懒，连家门密码都设123456，小偷不偷你偷谁？这步是织梦后台防黑设置的第一关，半点儿含糊都不行。

• 直接删掉默认admin账号：别觉得admin好记，黑客的扫描工具第一个试的就是这个账号，删了之后新建一个带大小写+数字+特殊符号的管理员ID，比如你叫张三就整个“Zs_9527@houtai”，傻子才猜得到。
• 把默认后台目录改名：织梦默认后台地址是你的域名/dede，相当于你把家门位置直接贴在小区公告栏了，直接去根目录把dede文件夹重命名，改成啥都行，比如“ni_cai_bu_dao_233”，别用guanli、houtai这种烂大街的名字。
• 开IP白名单限制：如果你是固定IP办公，直接在后台或者服务器配置里加规则，只有你家/公司的IP能访问后台地址，相当于给家门装了人脸识别，陌生人凑过来直接门都不让碰，我当时开了这功能之后，后台登录失败记录直接从一天几十次变成一周都没一次，贼好使。

别嫌这几步麻烦，就跟你家银行卡密码不能设123456一个道理，你敞着门让小偷进，啥家底都给你搬空，这波织梦后台防黑设置整完，至少能挡掉80%的脚本小子扫号攻击。

再给后台“堵上所有狗洞”：目录权限+无用文件全清干净

织梦为啥总被说不安全？说白了就是默认留了太多没用的“狗洞”，黑客随便找个缝隙就能钻进来，这波织梦后台防黑设置就是把所有能钻的洞全堵死，让他翻院墙都找不到落脚的地方。

• 没用的目录和文件直接删：装完系统第一时间把install目录删了，不然黑客能直接利用重装接口把你整个网站重置；不用会员功能就把member目录删了，不用留言板、投票插件就把plus里对应的guestbook、vote文件全清了，多余的东西留着都是隐患。
• 目录权限严格锁死：绝对不要给任何目录开777权限，相当于你给小偷递家门钥匙，Linux系统的话，uploads、data这种存上传文件的目录设755权限，静态文件目录设644权限，只有执行权限的目录坚决不给写权限；虚拟主机用户直接在控制面板里找权限设置，一键就能改，不用敲代码。
• 把data目录移到根目录外：这是很多人不知道的织梦后台防黑设置神操作，data目录存了缓存和配置信息，是黑客最爱下手的地方，你直接把它移到网站根目录的上层，再改下配置文件里的路径就行，代码我放下面： ``` // 打开/include/common.inc.php，找到这行 define('DEDEDATA', DEDEROOT.'/data'); // 改成你移过去的路径，比如 define('DEDEDATA', dirname(DEDEROOT).'/my_dede_data'); ``` 移完之后黑客根本找不到data目录的位置，想下木马都没地方传。

我当时整这步的时候，翻来覆去删了三回没用的文件，连之前下的免费模板里藏的后门脚本都找着了，毕竟织梦后台防黑设置的核心就是：黑客找不到能下手的文件，他再牛也没辙。

给整个网站装个“村口大监控”：实时预警+补丁更新拉满

前面的门和洞都整完了，咱再整个兜底的，就跟咱村口的大监控一样，谁在你门口晃悠一眼就能看着，真有人想撬门，你第一时间就能拿棍子出去赶，这波织梦后台防黑设置属于保命级别的。

• 补丁更到最新：别嫌织梦官方更补丁慢，出了高危漏洞补丁一定要第一时间更，就像你家门锁坏了要及时换一样，别等小偷进来了才后悔。
• 装个免费的安全插件：我就不说名字了免得说打广告，你自己搜织梦安全插件，下载量最高的那个免费的就行，开个文件篡改预警，只要网站文件被改了立刻给你发微信提醒，我上次测试传了个txt文件，不到10秒就收到提醒了，好使的很。
• 定期备份存异地：每次更完内容记得备份数据库和整站文件，备份完存在本地或者云盘，绝对不要存在服务器上，不然黑客给你删了连恢复的地方都没有，我现在都是每周自动备份一次到百度云，真出问题10分钟就能恢复，啥损失都没有。

咱做小网站本来就赚点辛苦钱，别因为懒这点小事，到时候被黑了权重掉了哭都没地方哭，这波织梦后台防黑设置整完，哪怕真有漏网之鱼，你也能第一时间掐灭风险。

压箱底的私货：几个歪门邪道的织梦后台防黑设置小技巧

最后给你们唠几个我自己用了很久的小技巧，都是一般教程不会说的，整完之后你的织梦后台防黑设置等级直接拉满。

第一个是给后台加二次验证，登录的时候除了账号密码，还要输手机验证码或者谷歌验证，就算黑客真猜到了你账号密码，没验证码也登不进来，相当于给家门再加个指纹锁。第二个是禁止境外IP访问后台，如果你做的是国内站，直接在.htaccess里加个规则，把境外IP全挡了，90%的境外扫描攻击直接就没了。第三个是别随便在网上下免费的织梦模板，我第二次被黑就是下了个免费的农产品模板，里面藏了个后门脚本，我找了三天才找着，真的血的教训，实在不想花钱买模板就去官方的模板库下，至少安全有保障。

说真的，很多人说织梦老了不安全，其实真不是，就是很多人懒得搞织梦后台防黑设置，敞着门给人进当然容易被黑，你按我这一套整下来，不敢说百分百不被黑，至少99%的脚本小子和扫描攻击都碰不到你一根毫毛。有啥不懂的评论区问，我能帮的都帮，都是踩过坑的人，知道那种着急的滋味。