织梦源码漏洞修补保姆级教程，看完自己就能搞定不用花钱找外包

你是不是前两年图省事用织梦搭了个小官网？要么是自家小餐馆的，要么是工作室接活用的，平时也没怎么管，突然某天搜自己网站名，出来的全是赌博、色情的跳转链接？找网络公司修，人家张口就要大几百，说要做全站安全加固，你也不知道是不是被坑了？今天这篇文章不用你懂复杂代码，跟着步骤点就行，半小时就能补完90%的常见漏洞，一分钱都不用花。

一、先做漏洞排查，找到黑客的攻击入口

1. 查后台登录日志，找陌生访问记录

先登录你的织梦后台，点左侧「系统」-「系统日志」。看有没有陌生IP的登录记录，尤其是凌晨2-4点的，90%是黑客扫到你的后台了。要是有陌生IP登过，说明你密码已经被破解了，后面一定要改密码。

2. 根目录扫异常文件，删掉木马

用FTP或者服务器文件管理器，打开网站根目录。按「修改时间」排序，看最近7天新增的.php文件。要是碰到单字母命名的，或者名字带shell、hack、eval的，直接删就行。

避坑提醒：不确定的文件名去百度搜，是织梦自带的系统文件就留着，别乱删整崩网站。

二、高频漏洞直接补，操作一步都不用改代码

1. 改默认后台路径，挡80%的脚本攻击

很多人装完织梦，后台路径还是默认的/dede。黑客写个脚本全网扫这个路径，扫到就撞密码，太容易被攻破了。

操作方法：直接用FTP把根目录的dede文件夹改名，改成只有你知道的名字，比如lisi199508，下次登录就输域名/lisi199508就行。

2. 关没用的会员功能，堵注入入口

90%的小网站根本用不上会员功能，但是织梦默认是开着的。黑客可以通过会员注册接口传木马，直接就能控制你的网站。

操作方法：登录后台，点「系统」-「系统基本参数」-「会员设置」，直接把「是否开启会员功能」选否，保存就行。要是你真要用会员，就去织梦官网下最新的会员模块补丁，覆盖对应目录就好。

3. 关uploads目录执行权限，防图片木马

这是织梦最常见的漏洞之一，黑客上传带木马的图片，然后在uploads目录直接执行，就能改你的网站内容。

操作方法：打开你的服务器控制面板，比如宝塔面板就点「网站」-「对应站点设置」-「目录权限」，选中uploads目录，勾选「禁止执行PHP」，保存就行。

额外再加个保险，把/include、/data这些核心目录的写入权限关了，只留读取权限。只有uploads和templets目录开写入权限就行。

要是你还怕搜索注入漏洞，直接打开/plus/search.php文件，最顶部加这段代码就行：

``` // 过滤搜索关键词的特殊字符，防注入 if(isset($keyword)){ $keyword = str_replace(array("<",">","'","\"","%","&"),"",$keyword); } ```

避坑提醒：改任何文件或者权限之前，先整站备份一次，出问题直接回滚就好。

三、补完漏洞做验证，确保没留后遗症

1. 先测全站功能，避免改崩

发一篇测试文章，传个图片，点一遍各个页面。要是正常显示没报错，就说明权限和文件改的没问题。要是报错了，就把刚才改的权限调回来，逐步排查问题。

2. 免费工具扫一遍，查漏补缺

去站长工具或者阿里云的免费漏洞检测页面，输入你的域名扫一遍。要是还有没补的漏洞，跟着提示的操作改就行，都是现成的步骤。

3. 换高强度后台密码，防二次破解

之前要是有陌生IP登过后台，说明你旧密码已经泄露了。直接换个12位以上的密码，数字加字母加符号，别用123456、admin这种弱智密码。怕忘就写在手机备忘录里，别随便发别人。

其实织梦的漏洞真没那么玄乎，大部分都是新手装完没改默认设置，才给了黑客可乘之机。你今天花20分钟跟着操作一遍，基本就不会再出现被挂黑链、跳赌博站的情况。省下来的几百块外包钱，点两顿小龙虾不好吗？现在就打开你的服务器面板开始弄，真碰到搞不定的，评论区留个言我看到就回。