从「自动生成不生效」到全站沦陷，织梦CMS深度安全运维实录

凌晨三点,运维老张盯着后台报错的「一键更新网站」提示，手指悬在键盘上微微发抖——织梦系统的自动生成功能，突然像被掐断喉咙的布谷鸟，彻底哑了，这不是简单的功能故障，他登录FTP后，发现根目录下多了一个名叫「admin_log.php」的陌生文件，文件修改时间显示为两小时前，这一刻他明白：网站被挂了后门。

挂马后的紧急清理与恢复

第一步：切断感染源。 立即修改FTP密码，关闭所有第三方登录权限，在服务器上执行 kill -9 $(ps aux | grep 'php' | awk '{print $2}') 强制终止可疑PHP进程，通过 chattr +i /var/www/html 临时锁定网站目录，防止恶意文件继续写入。

从「自动生成不生效」到全站沦陷，织梦CMS深度安全运维实录

第二步：寻找隐藏后门。 进入织梦根目录，执行 find . -type f -newer index.php -name "*.php" 查找比首页文件更新的所有PHP脚本，常见藏匿点包括：

• /plus/ 目录下的动态调用文件
• /include/ 中的第三方插件钩子
• /data/ 内自定义模板缓存
• 被修改的 config.php 核心配置文件

第三步：文件对比恢复。 使用官方原版CMS包，通过 diff -rq 你的网站目录/ 原始织梦目录/ 找出所有差异文件，对于被篡改的核心文件（如 include/common.inc.php），切勿手工修复，直接替换为官方版本；对于新增的陌生文件，一律删除。

第四步：数据库清洗。 登录phpMyAdmin，执行SQL排查可疑记录：

SELECT * FROM `dede_addonarticle` WHERE `body` LIKE '%<script%' OR `body` LIKE '%eval(%' ;
UPDATE `dede_archives` SET `title` = REPLACE(`title`,'挂马关键词','');

后台路径的“隐形斗篷”

织梦默认后台路径为 /dede/，这是黑客最优先的扫描对象，按以下步骤重构：

1. 重命名 /dede/ 为复杂字符串，如 zhanghao4125admin
2. 修改 data/admin/config.php 中的 $cfg_admin_path 路径变量
3. 在服务器配置层面添加IP白名单（Apache示例）：

   <Directory "/你的网站路径/zhanghao4125admin">
    Order Deny,Allow
    Deny from all
    Allow from 你的固定公网IP
   </Directory>

文件权限的“沙盒防御”

织梦沦陷往往源于权限过于宽松,采用“最小权限原则”重建安全体系：

在Apache的.htaccess中彻底封锁上传目录的PHP执行权限：

RewriteRule ^uploads/.*\.php$ - [F,L]
<FilesMatch "\.php$">
    Deny from all
</FilesMatch>

整站搬家与域名迁移的“外科手术”

搬家标准流程：

# 1. 打包网站目录（排除缓存和垃圾文件）
tar -czf website_backup.tar.gz --exclude='data/tplcache' --exclude='data/runtime' /网站路径/
# 2. 导出数据库
mysqldump -u root -p your_database > database.sql
# 3. 在新服务器解压
tar -xzf website_backup.tar.gz -C /新网站路径/

域名更换后的数据替换技巧： 登录phpMyAdmin，执行批量替换SQL（先做数据库备份！）：

UPDATE `dede_archives` SET `litpic` = REPLACE(`litpic`,'http://旧域名.com','http://新域名.com');
UPDATE `dede_addonarticle` SET `body` = REPLACE(`body`,'旧域名.com','新域名.com');
UPDATE `dede_arctype` SET `typedir` = REPLACE(`typedir`,'旧域名.com','新域名.com');
UPDATE `dede_sysconfig` SET `value` = '新域名.com' WHERE `varname` = 'cfg_basehost';

别忘了更新 include/config.php 和 data/admin/config.php 中的路径变量。

数据库最后的防线

例行备份脚本（每天凌晨3点自动执行）：

#!/bin/bash
DATE=$(date +%Y%m%d_%H%M%S)
mysqldump -u root -p'数据库密码' --all-databases --single-transaction --routines > /备份路径/db_$DATE.sql
find /备份路径/ -type f -mtime +7 -delete

灾难恢复：

mysql -u root -p < /备份路径/最近一次干净备份.sql

当自动生成功能再次亮起绿灯,那是清理干净的信号，如今的老张会在每次系统更新前，用 diff 命令比对文件哈希，在 dede_sysconfig 表中保留三份天级别的数据库快照，织梦CMS的每次无声崩溃，都是对安全架构的一次愤怒控诉——只有把每一道裂缝都填入硅酮胶般的防御代码，这个开源系统才能从黑客的狂欢场，变回内容创作者的伊甸园。