客户中心 > 用户手册 > 安全与设置 > DEDECMS织梦安全设置
近期发现许多论坛的一些非注册机暴力破解一些注册账户密码为123456，又或者是通过程序入侵，然后修改login文件，并且明文记录论坛用户登陆密码。
黑客一般利用DEDE的默认设置，一些网站管理员十分懒惰，程序上传之后，什么都不理就开始做网站，一但给入侵，黑客可以跨站攻击，即该用户的所有网站都可以挂上后门。
清查起来十分麻烦，网站如果安全不重视，迟早都是要吃这个亏，数据给盗和破坏都是常有的事情。
1、保持DEDE更新，及时打补丁。
2、装好DEDE后及时把install文件夹删除
3、管理目录改名，最好是改成MD5形式的，最好长点，我一般改成20位大小子字母数字。
4、DedeCms 万能安全防护代码http://bbs.dedecms.com/read.php?tid=15538
5、如果是使用HTML可以把plus下的相应文件和根目录下的index.php做掉（用不到的全删掉，还可以把数据库里面不用的表删除掉）
6、不用留言本的可以把plus下的guestbook做掉
7、不用会员的可以把member做掉
8、后台的文件管理（管理目录下file_manage_xxx.php），不用的可以做掉，这个不是很安全，至少进了后台上传小马很方便
9、下载发布功能（管理目录下soft__xxx_xxx.php），不用的话可以做掉，这个也比较容易上传小马的
最安全地方式：本地发布html，然后上传到空间。不包含任何动态内容，理论上最安全。
一、挂马前的安全措失
A、改更默认管理目录dede。
B、检查install目录里是否存在install.lock文件。有用户没给install目录写权限导致安装的时候没有生成lock文件。安装完成后可整个删除intstall目录。
C、关注后台更新通知，检查是否打上最新dedeCMS补丁
D、服务器web目录权限设置
有条件的用户把DedeCms中data、templets、uploads、html、special、images、install目录设置为不允许执行脚本，其它目录禁止写入，系统将更安全。
禁止执行脚本运行，在DEDE安装的根目录下，创建一个.htaccess文件
RewriteEngine on
RewriteCond % !^$RewriteRule data/(.*).(php)$ – [R=301,L]
RewriteRule templets/(.*).(php)$ – [R=301,L]
RewriteRule html/(.*).(php)$ – [R=301,L]
RewriteRule special/(.*).(php)$ – [R=301,L]
RewriteRule images/(.*).(php)$ – [R=301,L]
