怎样判断一个爱皮在网站是用Dedecms做的

判断一个网站是不是Dedecms做的，不用上来就猜，先看它露在外面的痕迹。Dedecms在国内老站里太常见了，尤其是2010年前后到2018年前后做起来的资讯站、企业站、地方门户，很多都是它。它的默认特征比较明显，但前提是对方没改过后台、模板和伪静态。改过的站也不是完全看不出来，只是要多看几处。

先看页面底部的版权和源码。很多Dedecms站会保留“Powered by DedeCMS”或者“DedeCMS V5.7”这类字样，有的放在页脚，有的藏在源码注释里。打开浏览器查看源代码，搜“DedeCMS”“dedecms”“Dede”这些词，能搜到就有戏。不过版权是最容易被删的，不能只靠这个。还可以看页面源码里的模板路径，Dedecms默认模板常见路径是 /templets/default/，里面会带 style、images 这类目录。如果源码里反复出现 /templets/ 开头的CSS、JS、图片地址，嫌疑就比较大。别的CMS也有模板目录，但Dedecms的 /templets/ 很有辨识度。

再看URL和目录。Dedecms默认后台地址常见是 /dede/，登录页标题有时会带“DedeCMS管理登录”。这个只能看公开页面，别去试默认密码，也别拿它当漏洞入口。默认公共目录是 /plus/，里面常见 list.php、view.php、search.php、count.php、feedback.php、guestbook.php、vote.php 这些文件。你打开一个列表页，看地址里有没有 /plus/list.php?tid= 这种形式，或者内容页有没有 /plus/view.php?aid= 这种形式，这是比较典型的动态地址。开了静态的站，常见列表页像 /list-1-1.html，内容页像 /view-1-1.html，很多Dedecms站会生成这种规则。但伪静态可以改，所以看到类似地址只能算线索，不能一口咬定。

robots.txt 也值得看一眼。有些Dedecms站会默认屏蔽 /plus/、/data/、/dede/ 这些目录，robots里出现这些路径，能侧面说明它可能用了Dedecms。还有 /data/ 目录，Dedecms默认会有 cache、config.cache.inc.php 这类东西，正常站点一般不让直接访问，但路径本身有参考价值。页面源码里如果有 /data/ 开头的资源，也可以留意。

搜索引擎指纹是个笨办法但挺管用。在搜索引擎里搜 site:域名 inurl:plus/list.php?tid=，或者搜 site:域名 inurl:plus/view.php?aid=，如果能搜到收录页，基本能说明站里有Dedecms常见的动态入口。再搜 site:域名 “Powered by DedeCMS”，有时也能翻出没删干净的页面。这个办法不碰后台，只利用公开收录，比较稳妥。

工具可以辅助，比如Wappalyzer、WhatCMS、BuiltWith，它们会看HTML、Cookie、JS、响应头里的特征。但这类工具对Dedecms的识别不是百分百，改过的站容易漏判，套了CDN或者做了静态化也会干扰。所以工具结果只能当参考，最后还是回到页面源码、URL规则、目录特征这几样互相印证。

有个细节容易被忽略：Dedecms默认登录页、搜索页、留言页的报错和标题风格比较固定。比如 /plus/search.php?keyword=测试 这种搜索页，有的站会保留Dedecms的搜索模板结构。再比如页面里出现 dedecms.css 这种文件名，或者 /templets/default/style/ 这种路径，都是比较实在的线索。但模板可以换，文件名可以改，所以别把单一线索当结论。

我的经验是，先看版权和源码，再看 /plus/ 和 /templets/，接着看URL规则，最后用搜索引擎收录页补一刀。几样里能对上两样以上，基本就能判断个八九不离十。要是对方把后台、模板、版权、伪静态全改了，那就只能靠更细的源码结构和公开页面特征慢慢对，单看一两眼确实容易看走眼。判断归判断，别去试探别人后台，也别拿默认路径去试密码，合规看公开信息就够了。