帝国网站管理系统之安全设置最优化

入库 采集 重复 解决 帝国 正式版 开源 发布 最优化 网站管理系统 设置

您的位置:仿站网 > 问答

帝国网站管理系统的代码严谨,默认配置就很安全,本文将介绍如何使您的系统安全设置达到最优化:

首先我们来认识一下帝国CMS安全认证特性:
帝国登录六重安全验证:
第一重:密码采用三重MD5+多重SALT加密,超强加密,密码不可破解,假如数据库被下载,也无法获取真实密码。
第二重:后台目录自定义,假如对方知道密码也找不到登录后台。
第三重:假如知道密码和后台目录也无法知道认证码,认证码存放.php文件必须登录FTP才能查看文件内容。
第四重:后台登录提问答案采用双重md5加密,即使数据库被偷也无法破解答案内容。
第五重:后台登录支持自定义指定独立域名,不使用指定域名无法登录后台。
第六重:后台登录支持绑定证书验证:用户设置绑定证书后必须通过证书页面进入才可登录后台,而从其他页面进入无法登录,更安全牢固。

帝国COOKIE信息十一重安全认证:
第一重:系统验证采用随机密码认证,每次登录或退出都会产生新的随机密码,无规律可寻,并且认证采用数据库+COOKIE+文件+SESSION+登录文件内容验证五重认证,安全可靠。
第二重:后台登录验证COOKIE变量前缀自定义,连变量名都不知道就无法模拟COOKIE发包。
第三重:COOKIE信息采用COOKIE认证码验证,信息加密采用双重md5加密,无法破解COOKIE认证码,并且COOKIE认证码存放.php文件必须登录FTP才能查看文件内容。
第四重:COOKIE信息与登录IP绑定认证,假如COOKIE信息被完全获取并且随机密码没有改动,不知道登录者IP也无法通过认证。
第五重:COOKIE信息与浏览器信息绑定,假如COOKIE信息被完全获取并且随机密码没有改动,且登录IP被知道,浏览器信息不正确也无法通过认证。
第六重:以文件方式验证用户是否登录,假如COOKIE信息被完全获取并且随机密码没有改动,且登录者IP与浏览器信息也被知道,用户不在线也无法通过认证。
第七重:COOKIE信息与SESSION信息验证同时绑定,假如电脑中毒后COOKIE信息外泄后,无SESSION信息也无法通过认证。
第八重:除了数据库随机密码认证、COOKIE信息验证、SESSION认证外,7.0版本还新增了数据库验证信息认证,为身份认证再加一把锁。
第九重:后台管理员采用独立验证密钥,验证内容更独立,更安全。
第十重:7.2以上版本拥有更强大的“来源HASH验证”:后台“来源HASH验证”支持设置“刺猬模式”与“金刚模式”两种安全防御:“刺猬模式”是更改数据库内容操作时启用验证,而“金刚模式”是后台所有页面启用验证,更全面。官方推荐启用“金刚模式”。此外,“来源HASH验证”不仅可以防止管理员喜欢点击别人QQ发来攻击链接等导致安全问题,而且还相当于在原来安全登录验证基础上又加一层登录验证,且连HASH变量名都是随机的,获取更复杂,让网站管理更无忧。
第十一重:7.2以上版本后台新增“随时认证码”验证:后台“随时认证码”支持设定多少秒更新“新登录验证信息”,间隔多少秒后自动产生新的登录信息,使旧登录信息失效,从而保护因管理员电脑中毒或者服务器受ARP等攻击时的后台安全,让网站管理更无忧。



下面我们来介绍帝国CMS如何设置是安全最优化的:
(注:以下选项都是非必须设置,只是优化建议。)
php配置文件php.ini设置:
1、magic_quotes_gpc 设置为 On
   魔术引用,此项建议开启。
2、register_globals 设置为 Off
   PHP全局变量,此项建议关闭。
3、display_errors 设置为 Off
   不显示PHP错误提示,此项设置对系统安全影响不大。

帝国网站管理系统设置:
1、安装时修改表前缀
   建议在全新安装帝国CMS时修改表前缀。
2、安装初始化管理员帐号时,不要将常见的诸如admin等作为管理员用户名。
3、管理员密码设置6位以上
   密码由字母、数字、下划线和特殊字符组成。
4、安装时设置登录认证码
   如果安装时没有设置认证码,可以修改e/class/config.php文件里的“$do_loginauth”变量内容。【7.0版本修改e/config/config.php文件里的“$ecms_config['esafe']['loginauth']”变量内容】(推荐用dreamweaver编辑,可防止UTF8编码文件被转换为GBK)
5、重命名后台管理目录/e/admin
   将admin重命名为不容易猜到并且好记的目录名。
6、设置后台验证登录IP
   为了照顾上网IP随时变动的用户,默认不验证登录IP,如果要开启登录IP验证,可以修改e/class/config.php文件里的“$do_ckhloginip”变量值设为1。【7.0版本修改e/config/config.php文件里的“$ecms_config['esafe']['ckhloginip']”变量值】(推荐用dreamweaver编辑,可防止UTF8编码文件被转换为GBK)
7、退出系统时,点击后台的退出登陆链接退出
   点退出登陆系统会自动产生新的随机密码 (防止因电脑中毒或网络被挟持导致本地保存的COOKIE信息外泄,而产生新的随机密码可使外泄的COOKIE信息失效)。
8、启用网站安全防火墙。
   有关防火墙配置可以看:http://bbs.phome.net/showthread-13-142920-0.html
9、启用后台帐号绑定证书验证。
   用户设置绑定证书后必须通过证书页面进入才可登录后台,而从其他页面进入无法登录,更安全牢固。生成的绑定证书可以复制到一台或多台电脑登录,并且支持自己随时更换新证书,使旧的证书失效。


相关链接:
帝国CMS 6.5功能解密:网站安全防火墙使用说明

转载请注明本文地址:帝国网站管理系统之安全设置最优化 https://mip.ecmsw.cn/ask/11.html
回复列表
1.
为什么display_errors、display_startup_errors和short_open_tag,这三个参数设置必须要设置为On才能进后台呢?有没有什么办法解决在不设置这三个参数为On的情况下,后台正常使用呢?现在万网的共享主机和独享的默认都是Off,而且共享的还不能修改php.ini。
2.
学习
3.
历害
4.
太好了。,谢谢
5.
最后一脚
6.
没抢到沙发
5555555555555555
7.
恩 喜欢 顶一个
8.
9.
不错,帝国安全性很好
10.
支持一个
11.
好啊。
12.
最后一个也支持
13.
细细阅读,辛苦了
14.
还真是厉害!
15.
不错
16.
来晚了
17.
very good
18.
不错,收藏
19.
牛哇
20.
支持了哈哈
21.
表前缀我都没改,应该没有问题吧
22.
hao
23.
来晚了 顶啊
24.
一定支持,绝对支持。
25.
不错 顶起
26.
帝国就这点最好,很安全
27.
支持
28.
好强呀
29.
支持
30.
历害
31.
认证码没有设置,赶紧去设置一下
32.
用帝国几年了从未被黑过,没有几个程序能做到吧
33.
不错
34.
帝国我信赖
35.
36.
不错,占位慢慢看
37.
出租广告位.哈哈..
38.
这个要顶
39.
看看
40.
首页,支持一个
41.
42.
板凳也坐
43.
冒死抢沙发
44.
来晚了
45.
支持
相关问题
仿站网专注于帝国CMS仿站及二次开发、模板定制等各种有关帝国CMS程序疑难杂症!
电话 短信 客服 联系