dedecms 修改密碼，黑客滲透測試該如何學習？
Web安全相關概念
熟悉基本概念（SQL注入、上傳、XSS、CSRF、一句話木馬等）。1.通過關鍵字（SQL注入、上傳、XSS、CSRF、一句話木馬等）進行Google/SecWiki；
2.閱讀《精通腳本黑客》，雖然很舊也有錯誤，但是入門還是可以的；看一些滲透筆記/視頻，了解滲透實戰的整個過程，可以Google（滲透筆記、滲透過程、入侵過程等）；
3周
熟悉滲透相關工具
熟悉AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan等相關工具的使用。
1.了解該類工具的用途和使用場景，先用軟件名字Google/SecWiki；
2.下載無后們版的這些軟件進行安裝；
3.學習并進行使用，具體教材可以在SecWiki上搜索，例如：Brup的教程、sqlmap；
4.待常用的這幾個軟件都學會了可以安裝音速啟動做一個滲透工具箱；
5周
滲透實戰操作
掌握滲透的整個階段并能夠獨立滲透小型站點。
1.網上找滲透視頻看并思考其中的思路和原理，關鍵字（滲透、SQL注入視頻、文件上傳入侵、數據庫備份、dedecms漏洞利用等等）；
2.自己找站點/搭建測試環境進行測試，記住請隱藏好你自己；
思考滲透主要分為幾個階段，每個階段需要做那些工作，例如這個：PTES滲透測試執行標準；
4.研究SQL注入的種類、注入原理、手動注入技巧；
5.研究文件上傳的原理，如何進行截斷、雙重后綴欺騙(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，參照：上傳攻擊框架；
6.研究XSS形成的原理和種類，具體學習方法可以Google/SecWiki，可以參考：XSS；
7.研究Windows/Linux提權的方法和具體使用，可以參考：提權；
8.可以參考: 開源滲透測試脆弱系統；
1周
關注安全圈動態
關注安全圈的最新漏洞、安全事件與技術文章。通
1.過SecWiki瀏覽每日的安全技術文章/事件；
通過Weibo/twitter關注安全圈的從業人員（遇到大牛的關注或者好友果斷關注），天天抽時間刷一下；
2.通過feedly/鮮果訂閱國內外安全技術博客（不要僅限于國內，平時多注意積累），沒有訂閱源的可以看一下SecWiki的聚合欄目；
4.養成習慣，每天主動提交安全技術文章鏈接到SecWiki進行積淀；
5.多關注下最新漏洞列表，推薦幾個：exploit-db、CVE中文庫、Wooyun等，遇到公開的漏洞都去實踐下。
6.關注國內國際上的安全會議的議題或者錄像，推薦SecWiki-Conference。
3周
熟悉Windows/Kali Linux
學習Windows/Kali Linux基本命令、常用工具；
1.熟悉Windows下的常用的cmd命令，例如：ipconfig,nslookup,tracert,net,tasklist,taskkill等；
2.熟悉Linux下的常用命令，例如：ifconfig,ls,cp,mv,vi,wget,service,sudo等；
3.熟悉Kali Linux系統下的常用工具，可以參考SecWiki,《Web Penetration Testing with Kali Linux》、《Hacking with Kali》等；
4.熟悉metasploit工具，可以參考SecWiki、《Metasploit滲透測試指南》。
3周
服務器安全配置
學習服務器環境配置，并能通過思考發現配置存在的安全問題。
1.Windows2003/2008環境下的IIS配置，特別注意配置安全和運行權限，可以參考：SecWiki-配置；
2.Linux環境下的LAMP的安全配置，主要考慮運行權限、跨目錄、文件夾權限等，可以參考：SecWiki-配置；
3.遠程系統加固，限制用戶名和口令登陸，通過iptables限制端口；
4.配置軟件Waf加強系統安全，在服務器配置mod_security等系統，參見SecWiki-ModSecurity；
5.通過Nessus軟件對配置環境進行安全檢測，發現未知安全威脅。
4周
腳本編程學習
選擇腳本語言Perl/Python/PHP/Go/Java中的一種，對常用庫進行編程學習。
1.搭建開發環境和選擇IDE，PHP環境推薦Wamp和XAMPP，IDE強烈推薦Sublime，一些Sublime的技巧：SecWiki-Sublime；
2.Python編程學習，學習內容包含：語法、正則、文件、網絡、多線程等常用庫，推薦《Python核心編程》，不要看完；
3.用Python編寫漏洞的exp，然后寫一個簡單的網絡爬蟲，可參見SecWiki-爬蟲、視頻；
4.PHP基本語法學習并書寫一個簡單的博客系統，參見《PHP與MySQL程序設計（第4版）》、視頻；
5.熟悉MVC架構，并試著學習一個PHP框架或者Python框架（可選）；
6.了解Bootstrap的布局或者CSS，可以參考：SecWiki-Bootstrap;
3周
源碼審計與漏洞分析
能獨立分析腳本源碼程序并發現安全問題。
1.熟悉源碼審計的動態和靜態方法，并知道如何去分析程序，參見SecWiki-審計；
2從Wooyun上尋找開源程序的漏洞進行分析并試著自己分析；
3.了解Web漏洞的形成原因，然后通過關鍵字進行查找分析，參見SecWiki-代碼審計、高級PHP應用程序漏洞審核技術；
4.研究Web漏洞形成原理和如何從源碼層面避免該類漏洞，并整理成checklist。
5周
安全體系設計與開發
能建立自己的安全體系，并能提出一些安全建議或者系統架構。
1.開發一些實用的安全小工具并開源，體現個人實力；
2.建立自己的安全體系，對公司安全有自己的一些認識和見解；
3.提出或者加入大型安全系統的架構或者開發；
4.看自己發展咯~
dedecms是什么東西？
dedecms 系統頻繁爆出漏洞，很不樂觀。一般的虛擬主機是很難保證安全的，不過某些空間商提供的虛擬主機控制面板后臺是支持設置目錄權限的，這事件好事，可以把可執行的文件及文件夾設置為只讀，這也僅能保證程序的安全，存放靜態內容的文件及文件夾只能給完整寫入權限了，除非 虛擬主機控制面板后臺 也支持設置取消腳本執行權限的功能，目前國內windows平臺下的虛擬主機面板很少有這個功能，有很大的改進空間。有錢了還是自己買vps\服務器、云主機什么的，自己權限能大一些，當然必須要把安全設置好，好不然更容易被黑客攻擊。供大家參考，希望能夠對大家有幫助。
1、data、templets、uploads、a（包含新建的HTML生成所有目錄）設置可讀寫不可執行權限。
2、include、member、plus、dede設置為可讀可執行不可寫入權限，其中后臺管理目錄(默認dede)，可自行修改；
3、如果不需要使用會員、專題，可以直接刪除member、special目錄；
4、刪除install安裝目錄；
5、管理員帳號密碼盡量設置復雜，發布文章可以新建頻道管理員，并且只給予相關權限，不要賦予所有權限；
6、Mysql數據庫鏈接，不使用root用戶，單獨建立新用戶，并給予：SELECT、INSERT、UPDATE、DELETE、CREATE、DROP、INDEX、ALTER、CREATE TEMPORARY TABLES權限；
7、定期進行備份網站目錄和數據庫，并在后臺進行文件校驗、病毒掃描、系統錯誤修復。
8、隨時關注官方補丁，及時更新漏洞。10、其實任何東西沒有絕對的安全，我們平常要多關注自己電腦的健康，不要什么東西都亂下載到我們工作的電腦。
dede織夢管理后臺密碼忘記了怎么辦？
第一步：
.打開dede_admin數據表：
進入你的MYSQL后臺，然后在你的數據庫名中，找到dede_admin這項，pwd下的值就是你的密碼，織夢密碼采取的是MD5加密。
第二步：
重置管理員密碼為admin：
dede_admin這這項表下，點“編輯按鈕”，進入數據表編輯狀態，將“pwd”后面的這項值修改為f297a57a5a743894a0e4，這串數字就是織夢的默認密碼admin。
建議直接復制進去，修改好后，點執行，這時候密碼就已經重置成功了，可以登陸后臺了。
第三步：
登陸后臺再次修改密碼，修改你想要的密碼，默認admin,admin有風險強烈建議修改：
進入系統——系統用戶管理——admin超級管理員界面——更改——輸入密碼——保存用戶——注銷用新密碼重新登陸。
至此，織夢后臺管理員的密碼和重置和修改就完成了。
請問黑人家網站的基本原理是什么呢？
所說某某網站被黑，其實是指黑客入侵網站服務器，非法獲取權限。而黑客入侵的過程大概可以分為七個步驟：
一、信息收集信息收集，是主要收集關于入侵對象的更多信息，方便后續漏洞挖掘。需要收集以下大概信息：
（1）whois信息：注冊人，電話，郵箱，DNS，地址
（2）Googlehack：敏感目錄、敏感文件、后臺地址、更多信息收集
（3）服務器IP：nmap掃描，端口對應服務、C段
（4）旁注：bing查詢、腳本工具
（5）如果遇到CDN：繞過從子域名下手、dns傳送域漏洞
（6）服務器、組件指紋，操作系統，web容器、腳本語言
二、漏洞挖掘通過收集到的信息，然后就進行漏洞挖掘。漏洞一般是操作系統或者應用軟件設計的時候由于邏輯不嚴謹，留下了安全漏洞；還有可能網站管理人員配置web服務器或數據庫服務器不當，而留下了安全漏洞。一般漏洞大概如下：
（1）探測web應用指紋：
博客類：WordPress、emlog、Typecho、Z-blog
社區類：discuz、phpwind、dedecms、startBBS、Mybb
PHP腳本類型：dedecms、discuz、PHPcms、PHPwind
（2）xss、csrf、xsio、sqllinjection、權限繞過、任意文件讀取、文件包含
（3）上傳漏洞：截斷，修改，解析漏洞
（4）有無驗證碼：暴力破解
漏洞千千萬萬，這列舉的也僅僅是其中一部分而已。
三、漏洞利用如果發現某個漏洞之后，就開始漏洞攻擊，獲取相應權限，根據場景不同變化思路拿webshell或者其他權限
（1）思考目的性，要達到什么效果
（2）隱藏，破壞性，探測到的應用指紋尋找對應exp攻擊載荷或者自己編寫
（3）開始漏洞攻擊，獲取相應權限，根據場景不同變化思路拿webshell
四、提權黑客根據對應漏洞，獲取了一定的權限，但不一定是最高權限，有可能只是一個普通用戶的權限，這個時候就需要配合另外一些本地漏洞來進行提升普通用戶權限了，將權限擴大化。只有把權限提升之后，才更加方便后續的操作。
（1）根據服務器類型選擇不同的攻擊載荷進行權限提升
（2）無法進行提權，結合獲取的資料開始密碼猜解，回溯信息收集
五、實施攻擊當黑客獲得最高權限后，就可以對目標為所欲為了。包括篡改網站首頁、篡改其他重要文件、竊取信息、上傳后門程序等。
六、留后門黑客留后門的目的，是為了下次更加方便的進入系統。上傳運行后門木馬便是其中一種手段，當然這種手段很多。
七、日志清理清理日志是最后的善后工作，因為對操作系統的任何操作，都會有對應的日志記錄下來。已經獲得了最高權限，為了隱藏自身，黑客往往需要刪除或者篡改對應的日志。
（1）偽裝、隱蔽，刪除指定日志
（2）根據時間段，find相應日志文件
結束語以上是小黃總結的黑客入侵的大概流程，不提供任何入侵具體細節，僅供運維新手或對黑客入侵感興趣人士了解下流程。小黃作為一個網站運維人員，對網站入侵也需要做一定的了解，才能更好的做對應的防護工作。在實際工作過程中，信息收集這部分基本每天都有，可以說幾乎時時刻刻都有探測之類的；即將入侵成功（事中發現異常）和已經入侵成功（事后發現異常）也發現好幾起。
文|技術猿小黃圖|來源于網絡我是技術猿小黃，很高興為您回答，如果您喜歡我的回答，可以關注我，點個贊，謝謝
如果您有什么想法或建議，歡迎下方留言評論。
如何學習網絡安全？
網絡安全是指網絡系統的硬件、軟件及其系統中的數據受到保護，不因偶然的或者惡意的原因而遭到破壞、更改、泄露。常見的一些網絡安全問題有計算機病毒入侵、網絡詐騙、個人信息泄露等。
近年來，網絡安全事件發生頻繁，我們該如何保護自己？
連接WiFi要小心
WiFi是一種廣受人們歡迎的無線連接互聯網的方式。目前，很多公共場合都有免費的WiFi可以連接。但是，通過WiFi接入互聯網后，所有的數據包括賬號、密碼、照片等，都會先經過提供WiFi服務的設備。如果有人在這些設備上動手腳，就有可能竊取人們的各種隱私。使用時注意以下幾點，可以大大提高安全性。
1、避免誤連。不使用網絡時應注意關閉自動連網功能，并慎用蹭網軟件，以免在不知情的情況下連入惡意WiFi。
2、選擇官方機構提供的、有驗證機制的WiFi。
3、選擇商家的WiFi。例如在酒店、咖啡館等場所，連接WiFi前應向工作人員進行確認。
4、謹慎操作。連接公共WiFi時，盡量不要進行網絡支付、網絡銀行理財等操作，避免泄露重要的個人信息。
密碼設置有技巧
生活中，人們越來越離不開密碼：登錄QQ、微信、微博、電子郵箱、ATM機取款、網絡支付……密碼像一把無形的大鎖，守護著我們的信息與財產安全。那么，怎樣的密碼才算是“好密碼”呢？可以參考以下幾點設置我們的密碼。
1、有足夠長的位數，通常在6位以上。
2、同時包含大小寫字母、數字和符號。
3、容易記憶，但不能與名字、生日、電話號碼等相同。
4、有特定的使用范圍，即只在某幾個網站或軟件中使用。
5、實際操作時，設置的密碼最好是其他人看來雜亂無意義，而對自己有特殊含義、容易記憶的字符串，如“zYN15_9”、“La.8-13”等。
網絡購物要謹慎
1、網絡購物要理性。想清楚購買的理由，以免盲目購物。
2、選擇網站要謹慎。最好去正規的網站，以免造成銀行卡、密碼等泄露。
3、選擇商品要仔細。價格、售后服務等都要考慮，可以請父母、朋友幫忙分析。
4、支付貨款不隨意。支付貨款時一定要請小心確認，切不可馬虎。
5、收到商品及時查。檢查商品是否與訂單一致，是否完好，如發現問題，請及時進行退換貨處理。
不明鏈接不要點
1、收到不明來歷的電子郵件，如主題為“中獎”、“問候”等，應立即刪除。
2、不要瀏覽青少年不宜的網站或欄目，如無意中進入了此類網站，要立即離開。
3、如在網上看到不良信息，離開這個網站，并向有關部門舉報。
另外企業IT面臨的威脅仍然處于非常高的水平，每天都會看到媒體報道大量數據泄漏事故和攻擊事件。隨著攻擊者提高其攻擊能力，企業也必須提高其保護訪問和防止攻擊的能力，安全和風險領導者必須評估并使用最新技術來抵御高級攻擊，更好地實現數字業務轉型以及擁抱新計算方式，例如云計算、移動和DevOps.
下面是可幫助企業保護其數據和信息的頂級技術：
目前，企業有不同類型的工作負責、基礎設施以及位置，其中包括物理/虛擬機和容器，除了公共/私有云之外。云計算工作負責保護平臺允許企業從單個管理控制臺管理其各種工作負載、基礎設施以及位置，這樣他們也可以跨所有位置部署共同的安全策略。
很多企業使用多個云服務和應用程序，所有這些應用程序從一個CASB監控，因此，企業可有效執行安全策略、解決云服務風險，并跨所有云服務（公共云和私有云）確保合規性。
通常企業沒有資源或者沒有人員來持續監控威脅時，才會考慮使用MDR服務。這些服務提供商使企業能夠通過持續監控功能來改善其威脅檢測和事件響應。這使企業能夠在虛擬數據中心分隔和隔離應用程序和工作負責，它使用虛擬化僅軟件安全模式向每個分區甚至每個工作負責分配精細調整的安全策略。
有時候惡意活動會滲透企業網絡，而不會被企業部署的其他類型網絡防御系統所檢測。在這種情況下，欺騙技術可提供洞察力，可用于查找和檢測此類惡意活動。它還會采取主動的安全姿態，并通過欺騙它們來擊敗攻擊者。目前可用的欺騙技術解決方案可覆蓋企業堆棧內的多個層次，并涵蓋網絡、數據、應用程序和端點。
這些安全解決方案可監控所有端點，查找任何異常/惡意行為。EDR專注于檢測異常活動，并隨后對異常活動進行調查，如果發現威脅，則會進行修復和緩解。根據Gartner表示，到2020念安，全球范圍內80%的大型企業、25%的中型企業以及10%的小型企業將利用EDR功能。這些安全解決方案可監控網絡流量、連接、流量和對象，以查看是否存在任何可疑威脅或惡意內容。當發現惡意內容時，惡意內容會被隔離以采取進一步行動。