DEDE系统中使用默认名称的data目录存在的安全隐患

在网站建设领域，Dedecms（织梦CMS）因其易用性和强大的功能，受到众多站长和网络公司的青睐。特别是在最新版本5.7与5.7SP1中，系统后台新增了安全检测功能。如果网站的data目录仍使用默认名称，系统的安全性将大大降低。通常，你会看到这样的提示：强烈建议将data目录迁移到Web根目录之外，以提升安全性。

然而，对于虚拟主机用户来说，部分主机服务商限制了目录迁移至Web根目录以外的操作。在这种情况下，改名data目录是一种有效的替代方案，可以显著减少被攻击的风险。以下是具体操作步骤：

第一步，修改include目录下的common.inc.php文件。
打开该文件，找到第16行：


define('DEDEDATA', DEDEROOT.'/data');

将"data"替换为你想要的新目录名，例如"asdfg"，则代码应改为：


define('DEDEDATA', DEDEROOT.'/asdfg');

第二步，通过FTP工具将data目录重命名为“asdfg”，确保与第一步中的新名称一致。
第三步，在网站后台管理界面中，进入“系统 - 系统基本参数 - 性能选项”，将“模板缓存目录”设置为“/asdfg/tplcache”。

完成上述步骤后，可能会遇到网站跳转到安装页面的问题。解决方法是修改网站根目录下的index.php文件，注释掉以下几行代码：


//if(!file_exists(dirname(__FILE__).'/data/common.inc.php'))
//{
//    header('Location:install/index.php');
//    exit();
//}

此外，在后台更新时，网站地图、RSS和JS生成可能出现问题。为此，在网站根目录下新建一个名为"data"的空目录，并在其内部创建rss和js两个子目录即可。

需要注意的是，仅仅按照官方教程操作可能无法完全解决问题。例如，验证码不显示或联动类别无法正常工作等情况。这是因为程序中存在其他调用"data"目录的地方未被修改。因此，必须全面检查并替换所有涉及"/../data"路径的部分。

针对验证码问题，编辑/include/vdimgck.php文件，将如下代码中的路径更改为新的data目录：


$im = @imagecreatefromjpeg(dirname(__FILE__).'/data/vdcode.jpg');

最后，记得同样修改首页index.php文件中关于"data"目录的引用。
通过以上详细步骤，您可以更加安全地保护您的Dedecms网站免受潜在威胁。

推荐阅读