易优CMS 安全
1、后台无法升级 (解决方案：批量将根目录及所有子目录的权限值设为 0755，升级完后再重新调整权限分配）
2、模板管理不能编辑 (解决方案：将模板目录 template 的权限值设为 0755，修改完模板后，再改权限值为 0555)
0755 允许写入
0555 允许脚本执行，拒绝写入
【目录权限分配】
├─application 应用目录，一般情况下不需要修改，所以允许脚本执行，拒绝写入（权限值：0555）
│ ├─lang 多语言官方变量包文件（权限值：0755）
├─core 核心框架，一般情况下不需要修改，所以允许脚本执行，拒绝写入（权限值：0555）
├─data 存放缓存文件、数据等，所以允许写入（权限值：0755）
│ ├─backup 备份文件存放目录，放置更新包、备份包（清除缓存会一起清理掉）（权限值：0755）
│ ├─conf 版本号文件、汉字拼音文件等，这是不会有php文件（权限值：0755）
│ ├─model 创建自定义模型时，相关文件的模板样本，拒绝写入（权限值：0555）
│ ├─runtime 系统运行时生成的缓存文件目录，可以手工删除里面的目录文件（权限值：0755）
│ ├─schema 存放数据表字段缓存文件，对网站性能加速（权限值：0755）
│ ├─session_xxxxxx 服务器临时缓存目录，比如：验证码、临时校验等，这是不会有php文件（权限值：0755）
│ ├─sqldata_xxxxxx 数据库备份目录，建议备份挪到网站外存储，避免被利用下载破解密码（权限值：0755）
│ ├─weapp 制作、打包插件专属目录，一般在本地开发，要拒绝写入（权限值：0555）
├─extend 扩展类库、自定义函数文件的目录，专门给开发者二次开发易优CMS，拒绝写入（权限值：0555）
├─install 安装完系统后，直接删除；如需要搬家另外从demo源码里拷贝
├─public 公共静态资源文件存放目录，不会包含php、jsp、asp、aspx等动态文件，允许写入（权限值：0755）
├─template 前端模板存放目录，不建议在后台进行模板编辑，所以要拒绝写入（权限值：0555）
├─uploads 图片上传存储目录，不会包含php、jsp、asp等动态文件，允许脚本执行、写入（权限值：0755）
├─vendor 第三方资源包目录，允许脚本执行，拒绝写入（权限值：0555）
├─weapp 后台插件应用目录，允许脚本执行、写入（权限值：0755）
├─index.php 前台入口文件，允许脚本执行，拒绝写入（权限值：0555）
├─login.php 后台入口文件，允许脚本执行，拒绝写入（权限值：0555）
如果网站是生成静态模式，生成的那些存放静态文件的目录（权限值：0755）
放到 .htaccess
<IfModule mod_rewrite.c>
RewriteCond % !^$
RewriteRule ^.*\.(php|php3|php4|php5|php6|php7|php8|pht|phtml|asp|aspx|jsp|exe|js|perl|cgi|asa) – [F]
</IfModule>
放到web.config文件中
<configuration>
<system.web>
<httpRuntime executionTimeout=”timeout-in-seconds” />
</system.web>
<system.webServer>
<security>
<requestFiltering>
<fileExtensions>
<remove fileExtension=”php” />
<remove fileExtension=”php3″ />
<remove fileExtension=”php4″ />
<remove fileExtension=”php5″ />
<remove fileExtension=”php6″ />
<remove fileExtension=”php7″ />
<remove fileExtension=”php8″ />
<remove fileExtension=”pht” />
<remove fileExtension=”phtml” />
<remove fileExtension=”asp” />
<remove fileExtension=”aspx” />
<remove fileExtension=”jsp” />
<remove fileExtension=”bat” />
<remove fileExtension=”exe” />
<remove fileExtension=”js” />
<remove fileExtension=”perl” />
<remove fileExtension=”cgi” />
<remove fileExtension=”asa” />
<remove fileExtension=”bat” />
<!– 添加其他不允许执行的文件扩展名 –>
</fileExtensions>
<verbs>
<remove verb=”EXECUTE” />
<!– 如果你还想禁止其他HTTP动作，比如PUT或DELETE，可以在这里添加 –>
</verbs>
</requestFiltering>
</security>
</system.webServer>
</configuration>