关于ECSHOP网站安全性的几点建议
1、不要购买或者下载来历不明的模板、插件。
来历不明的模板或插件及有可能带有后门程序，使用后被人利用后门入侵网店，盗取重要信息，以及被长期监控。或将您的订单会员资料出售给同行，后果相当严重。
2、找人开发功能或者修改模板的时候，不要将服务器密码等重要资料交给对方
将FTP，或者服务器密码交给别人是非常危险的事情，一定要对对方的资质与信用进行评估，因为有人会通过这样的方式要到密码后进行盗窃或入侵。合作结束后一定要修改掉服务器或者FTP密码。
3、后台路径修改一下更安全。
从ECSHOP2.7.1版本开始，可以自定义后台路径，修改方法也比较容易，比如我要将 /admin 改成 /htglxt
首先进FTP中将admin目录改成zuimoban其次打开 data/config.php 这个程序，将所有“admin” 字段 改成 “htglxt”
$admin_dir = “admin”; ==> $admin_dir = “htglxt“;
define(‘ADMIN_PATH’,’admin’); ==> define(‘ADMIN_PATH’,’htglxt’);
这样就行了
4、后台主管理员的用户名和密码进行修改，默认的其他管理员删除
建议将管理员账号改成中文，比如原来是admin 改成“我是谁”
然后密码改成15位以上，数字英文和符号混合。
5、检查模板文件的安全性
因为ECshop的模板机制是dwt+lbi文件运行。而如果dwt文件可以直接访问对模板的安全性是不够的，容易被人直接下载你的模板。我们可以从浏览器里输入http://www.xxxxx.com/index.dwt 来测试是不是可以打开，注意这里域名换你自己的，如果可以打开页面则说明有问题。默认情况下是403错误。
如果可以打开（不是Forbidden错误，看到的是带一点点乱码的页面）
那么你可以在后台 商店设置-URL重写里 勾选简单或者复杂重写。因为伪静态的规则对于模板也有一定的保护作用，再试试 http://www.xxxxx.com/index.dwt 应该就打不开了。
6、在后台商店设置里 限制附件上传的大小
后台商店设置-基本设置里 有一个附件上传大小的设置，建议将默认值改成0
7、删除TITLE部分的powered by ecshop字样
因为通过搜索powered by ecshop这句话可以搜索出所有ECshop的网店，容易被熟悉EC漏洞的人入侵，不过做到前几步的话也就不怕了。
打开includes下 lbi_main.php这个文件
$page_title = $GLOBALS[‘_CFG’][‘shop_title’] . ‘ – ‘ . ‘Powered by ECShop’;
改成
$page_title = $GLOBALS[‘_CFG’][‘shop_title’] ;
PS：为了感谢ECShop系统建议保留底部版权。
8、及时修补EC漏洞安全补丁
平时要留意一些有关ECShop的新漏洞，积极联系EC官方获取安全补丁。
9、网站服务器的安全防护设置
请参考网站服务器安全防护相关技术文章。
评论