本文关键词：织梦做的网站首页被篡改
说实话，干建站这行七年了，什么妖魔鬼怪没见着？但每次看到那种还在用老掉牙的织梦（DedeCMS）做站，且后台还开着默认路径的，我心里就咯噔一下。真的，不是吓唬你，这玩意儿就像个没锁门的金库，黑客进去拿东西跟逛自家后院似的。
上周有个老客户急匆匆找我，电话里声音都抖了，说他的网站首页被篡改了，打开全是赌博和色情广告，百度直接给降权了，流量断崖式下跌。我让他别慌，先截图保留证据，然后我远程连过去一看，好家伙，首页的index.htm文件里被塞了一堆乱七八糟的iframe代码，还有几个不明身份的php文件藏在根目录深处。这就是典型的织梦做的网站首页被篡改案例。很多老板觉得，我就做个展示型网站，没人会盯着我，这种想法太天真了。黑客扫站是全自动的，他们根本不在乎你是卖什么的，只要你的系统有漏洞，他们就往里灌恶意代码。
我帮他把那些恶意代码一行行删了，又查了后台日志，发现有人通过弱口令暴力破解进了后台。更离谱的是，他的服务器连个基础的防火墙都没装，FTP密码还是“123456”。我问他：“你平时改过密码吗？”他一脸懵：“啊？还要改吗？当初建站师傅说不用啊。”
你看，这就是很多中小企业的通病。建站的时候图省事，选个便宜的模板，找个人随便弄弄就上线了。结果呢？安全补丁从来不打，漏洞修复全靠运气。织梦这个系统，虽然当年火过一阵，但毕竟年头久了，公开的漏洞太多了。特别是那个arclist标签的SQL注入漏洞，简直是黑客的福音。一旦中招，轻则首页被篡改，重则整个数据库被拖走，你的客户资料、订单信息全没了，那损失可就大了去了。
我当时就跟他讲，这事儿不能光删代码就完事了，得治本。首先，必须把后台路径改了，别再用默认的/dede了，改成谁都猜不到的乱码。其次，后台密码必须设复杂点，字母加数字加符号，长度别少于8位。再者，服务器得装个安全狗或者类似的防护软件，把那些高危端口给封了。最后，也是最关键的，定期备份数据库和文件。我让他把备份策略改成每天自动备份，并且备份文件要存到另一个盘符或者云存储里，别跟网站文件放在一起，不然黑客连锅端，你就真没辙了。
处理完之后，我让他去百度站长平台提交死链，申请重新收录。大概过了三天，流量慢慢回升了，首页的恶意广告也没再出现。他给我发了个红包，说谢谢我救了他的命。其实我心里清楚，这不是救命的钱，是买教训的钱。
很多同行跟我吐槽，现在做织梦的站越来越少，都是WordPress或者自建的系统了。但没办法，有些老行业、老客户，他们的网站就是基于织梦做的，数据量也不大，迁移成本太高，干脆就留着。这时候，作为建站从业者，咱们就得负起责任来。不能只管卖不管修。你得主动告诉客户，这系统老了，风险大，得加强防护。
我也遇到过那种特别固执的客户，我说你要改密码，他说“我忙，没空”，我说你要装防火墙，他说“太贵，没必要”。结果呢？被篡改了，来找你修，这时候你再说啥，人家都听不进去了，只会觉得你是在推卸责任或者趁机宰客。所以啊，防患于未然比亡羊补牢重要一万倍。
如果你现在还在用织梦，或者你的网站是织梦做的，千万别抱有侥幸心理。没事多看看后台日志，多检查下文件完整性。一旦发现首页被篡改，别自己瞎折腾，容易把数据搞坏，赶紧找专业的人处理。毕竟，网站是你的脸面，别让那些乱七八糟的广告给抹黑了。
这事儿说多了也是心累，希望大家都能长点心，别等出了事才后悔莫及。建站容易守站难，这话真不是白说的。
