DedeCMS data/mysql_error_trace.inc 日志泄露后台地址漏洞修复方案

在使用DedeCMS时，data日志文件mysql_error_trace.inc会记录大量MYSQL错误信息。如果后台访问过程中出现过MYSQL错误，这可能会导致后台地址的暴露。由于该文件名固定，容易成为安全漏洞扫描的目标，因此可以通过改名等方法来提升安全性。
以下是几种解决此问题的方法：
方法一：重命名文件
首先，通过FTP或远程登录的方式将data/mysql_error_trace.inc重命名为mysql_error_你喜欢的任意字符.inc。
接着，打开/include/dedesql.class.php和dedesqli.class.php文件，在其中搜索“mysql_error_trace.inc”，并将找到的结果替换为新的文件名（mysql_error_你喜欢的任意字符.inc）。确保两处文件名修改一致以避免系统错误。


// 示例代码
原文件名为：mysql_error_trace.inc
修改后文件名为：mysql_error_customname.inc

方法二：设置HTACCESS规则
通过服务器的HTACCESS设置禁止DATA目录的写入和执行权限。这种方法可以有效防止未经授权的访问和恶意操作。
方法三：移动DATA目录
为了彻底解决问题，可以将DATA目录移出WEB根目录。具体步骤如下：
1. 使用FTP工具将/data/文件夹移动到web根目录的上一级。
2. 修改/include/common.inc.php文件中的DEDEDATA变量定义，将原来的define('DEDEDATA', DEDEROOT.'/data');改为define('DEDEDATA', DEDEROOT.'/../data');
3. 如果首页是动态访问，还需要修改/index.php文件，删除以下代码（如果首页生成静态且index.html为默认访问地址，则可忽略此步）：


if(!file_exists(dirname(__FILE__).'/data/common.inc.php')){
header('Location:install/index.php');
exit();
}

4. 最后，修改模板缓存文件目录。进入后台 > 系统 > 系统基本参数 > 性能选项，将模板缓存目录值更改为/../data/tplcache。
以上三种方法可以根据实际需求选择使用。通过这些措施，可以有效保护DedeCMS系统的数据安全，减少因错误日志暴露而导致的安全隐患。同时，定期检查和更新系统也是保持网站安全的重要手段。

推荐阅读