dede网站被黑3步自救指南含对比评测

自己不会代码，看着后台一片乱码或弹窗广告，是不是脑子嗡嗡响？别慌，DedeCMS 被黑是建站圈的老大难问题，尤其对小白来说，这简直是噩梦。但别急着删库重装，那只会让你丢光数据。今天这篇，不整虚的，直接上对比评测思路，教你怎么在“手动清理”、“备份恢复”和“专业安全服务”这三条路里，选出最适合你这种非技术背景的方案。哪怕你连 Linux 命令都不懂，跟着做也能把损失降到最低。

1. 别急着删库，先判断你的“中毒深度”

很多站长一看到网站挂马，第一反应就是“重做吧”。对于DedeCMS 这种老牌 CMS，重做确实是最干净的路，但代价是数据全丢。如果你不想重来，就得先搞清楚你中了几级的毒。

DedeCMS 被黑通常分三个层级，你得对号入座：

Level 1：挂马/弹窗。网站能打开，但用户看到弹窗，或者被跳转钓鱼网站。通常是 index.php 或公共文件被插入了一句 <script src="http://evil.com/hack.js">。
Level 2：后台被改。登录不进去，或者进去后多了一个陌生的管理员账号。这是最危险的，意味着攻击者有了“合法”身份，随时可以改你全站内容。
Level 3：服务器沦陷。不仅网站挂了，服务器 SSH 端口也被打开，甚至被拿去挖矿。这时候，你面对的不是网站问题，而是服务器安全问题。

关键动作： 在动任何手脚前，立刻停止网站访问。如果是云服务器，直接在控制台设置“安全组”，把 80 和 443 端口对公网关闭（保留 SSH 用于你自己登录）。这能切断攻击者的即时利用路径。

对比评测：三种处理路径的优劣

处理路径	适合人群	耗时	成本	风险
手动清理	有点技术基础，熟悉 DedeCMS 目录	2-4 小时	免费	高，容易漏杀，反复被黑
备份恢复	有近期完整备份，数据非实时	30 分钟	免费	低，但丢失备份后的数据
专业安全服务	完全不懂技术，追求省心	1-2 天	几百-几千元	极低，需甄别服务商靠谱程度

对于“自己不会代码”的你，备份恢复通常是性价比最高的首选，前提是——你真的有备份。如果没备份，或者备份也是坏的，那就得硬着头皮上手动清理，或者花钱请人。下面重点讲怎么手动清理，因为这是你能真正学到东西、防止再被黑的过程。

2. 清理 DedeCMS 的“毒瘤”：实操步骤

DedeCMS 的代码结构相对固定，这既是优点也是缺点。攻击者最喜欢钻的几个空子：/plus/ 目录、/dede/ 后台目录、以及根目录的 index.php。

第一步：找后门

攻击者留下的后门，通常长这样：

<?php eval(base64_decode("...")); ?>

或者更隐蔽的：

<?php @eval($_POST["cmd"]); ?>

怎么找？ 如果你会用 Windows，可以用 Notepad++ 打开网站所有 .php 文件，用“查找”功能搜索 eval(、assert(、base64_decode(、$_POST[、$_GET[ 等关键词。如果你用 Linux 服务器，一条命令能救大命：

grep -rn "eval(" /www/wwwroot/your_site_name/ --include="*.php"

注意： 这条命令会列出所有包含 eval( 的文件和行号。DedeCMS 原生代码里也可能有 eval，但通常不会出现在 .php 文件的最开头或最结尾，且上下文通常是业务逻辑。如果看到孤零零的、带 base64_decode 的，99% 是后门。

第二步：清理文件

找到可疑文件后，不要直接删。先备份！

把该文件复制到服务器外的本地电脑。
用文本编辑器打开，找到那段恶意的 eval 代码。
只删除那段恶意代码，保留其他正常业务代码。
保存后，再传回服务器覆盖。

重点检查目录：

/plus/：很多插件和入口文件在这里，是重灾区。
/dede/：后台目录，检查是否有新增的 .php 文件，文件名可能是乱码或看似正常的名字（如 admin.php 的变体）。
/data/：检查是否有异常的 .php 文件，正常这里应该是 .dat 或 .html 数据文件。

第三步：改密码，全改！

清理完代码，立刻、马上、全部修改密码：

服务器 SSH 密码：登录云控制台，重置 SSH 密码。
数据库密码：在 phpMyAdmin 或命令行里，修改 MySQL 的 root 或网站用户密码。
DedeCMS 后台管理员密码：登录后台，修改所有管理员账号密码。
FTP 密码：如果你还在用 FTP，改密码，或者直接禁用 FTP，改用 SFTP。

为什么？ 攻击者可能已经窃取了你的旧密码，或者在数据库里存了哈希值。不改密码，等于把家门钥匙又塞回锁孔里。

3. 防止再被黑：DedeCMS 的加固与监控

清理只是止血，加固才是治病。DedeCMS 因为历史悠久，版本多，老版本漏洞百出。如果你还在用 5.7 或 6.0 的老版本，强烈建议升级到最新版（如 7.7 或更高），或者至少打上官方补丁。

核心加固措施：

文件权限收紧
- 网站根目录权限设为 755。
- 网站文件（.php, .html）权限设为 644。
- 关键点： /data/ 目录权限设为 755，但里面的 .php 文件（如果有）权限设为 644。
- 最重要的一点： 确保 /data/ 目录下没有可执行的 .php 文件。如果有，直接删掉。DedeCMS 的数据应该存在 .dat 文件里，而不是 PHP 文件。攻击者常往 /data/ 里丢后门。
禁用不必要的 PHP 函数 在 php.ini 或 .user.ini 中，禁用高危函数：
```
disable_functions = phpinfo,exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
```
注意： 禁用 system 和 exec 后，某些插件可能无法工作，需测试。但为了安全，值得。
设置 Web 应用防火墙 (WAF) 如果你用的是宝塔面板、1Panel 等控制面板，务必开启 WAF。
- 开启“防扫描”功能。
- 开启“防注入”功能。
- 设置“频率限制”，防止攻击者疯狂尝试爆破后台。
监控：用 Google Search Console 盯紧异常 很多人不知道，Google Search Console (GSC) 不仅能看收录，还能帮你发现安全问题。
- 登录 GSC，进入“安全性”板块。
- 如果 Google 检测到你的网站有“手动操作”或“恶意软件”，会在这里发出警告。
- 即使 Google 没警告，你也可以在“网站抓取”或“增强功能”里，观察是否有异常的爬虫 IP 访问记录。
- 实战技巧： 定期（每周）查看 GSC 的“覆盖范围”报告。如果突然出现大量“未找到 (404)”或“重定向”错误，可能是攻击者在批量创建垃圾页面，导致搜索引擎索引混乱。

对比评测：WAF 方案

方案	成本	效果	易用性	适合场景
宝塔/1Panel 内置 WAF	免费	中，能防大部分常见攻击	高，图形化配置	个人站、小型企业站
云服务商 WAF (如阿里云)	按月/年付费，几百元起	高，云原生防护	中，需配置域名	对安全性要求高的企业站
第三方 WAF (如 Cloudflare)	免费版功能有限，付费版强	高，全球节点加速	低，需改 DNS	有海外流量，需加速+防护

对于DedeCMS 用户，宝塔内置 WAF 是性价比最高的起步方案。它能拦截掉 80% 的自动化扫描和简单爆破。

4. 上线前的最后检查：代码与结构

清理完、加固完，别急着重新开放网站。做最后一次“体检”。

1. 检查 index.php 和 header.php 这两个文件是入口，最容易被注入。打开它们，从头到尾读一遍，确认没有陌生的 <script> 标签或 PHP 代码块。

正常情况：只有 DedeCMS 的初始化和加载代码。
异常情况：出现 document.write、location.href 等前端跳转代码，或 file_get_contents 等后端读取代码。

2. 检查 .htaccess 文件 如果服务器是 Apache，检查根目录和 /plus/、/dede/ 下的 .htaccess 文件。攻击者可能修改了重写规则，把正常请求重定向到恶意页面。

对比一下你手头干净的 DedeCMS 备份，看看 .htaccess 是否一致。
如果不确定，直接删除自定义的 .htaccess，恢复默认。

3. 数据库完整性检查 登录 phpMyAdmin，导出全站 SQL。

检查 dede_admin 表，看是否有陌生账号。
检查 dede_archives 表（文章表），看是否有大量垃圾标题或空内容文章。
检查 dede_addoncontent 表，看文章内容是否被插入恶意代码。

4. 前端代码审计（针对不懂代码的你） 如果你完全看不懂 PHP，可以借助工具。

VirusTotal：把可疑的文件上传到 VirusTotal.com，它会用几十个杀毒引擎扫描。如果多个引擎报毒，100% 是恶意文件。
DedeCMS 官方漏洞库：去 DedeCMS 官网，查看你当前版本的已知漏洞列表，对照检查是否已修复。

代码示例：一个简单的文件监控脚本

虽然你不懂代码，但把这个脚本放在服务器根目录，能帮你自动监控文件变化。它每天检查一次，如果关键文件被修改，就发送邮件通知你。

<?php
// monitor.php
// 需要安装 PHPMailer 或配置 mail() 函数
$filesToMonitor = ['index.php','header.php','dede/templets/default/index.php'
];$logFile = '/tmp/website_monitor.log';
$lastCheckFile = '/tmp/last_check_time.txt';$lastCheck = file_exists($lastCheckFile) ? file_get_contents($lastCheckFile) : 0;
$currentTime = time();// 每天检查一次
if ($currentTime - $lastCheck > 86400) {foreach ($filesToMonitor as $file) {if (file_exists($file)) {$fileMd5 = md5_file($file);$logContent = file_exists($logFile) ? file_get_contents($logFile) : '';$logLines = explode("\n", $logContent);$found = false;foreach ($logLines as $line) {if (strpos($line, $file) !== false) {$found = true;// 如果 MD5 变了，发送警报if (strpos($line, $fileMd5) === false) {// 这里应发送 email 警报// sendAlert("File changed: $file");}break;}}if (!$found) {// 记录新文件的 MD5file_put_contents($logFile, "$file:$fileMd5\n", FILE_APPEND);}}}file_put_contents($lastCheckFile, $currentTime);
}
?>

注意： 这个脚本是简化版，实际部署需要配置邮件服务。但对于初学者，理解“监控文件 MD5 变化”这个逻辑，比手写代码更重要。你可以用宝塔面板的“文件监控”功能，效果类似。