苹果CMS站点后门快速检测与手动修复零基础实操指南

一、前期准备工作

你只需要准备好网站根目录的访问权限即可，无需额外复杂工具：

• 如果你使用宝塔面板/虚拟主机面板：直接通过面板自带的文件管理功能操作即可
• 如果你使用独立服务器远程操作：可下载FinalShell工具登录，官方下载地址：http://www.hostbuf.com/

若需要替换核心文件，可直接从苹果CMS官方仓库下载对应版本，官方下载地址：https://github.com/magicblack/maccms10/releases

二、分步骤后门检测操作

按照以下顺序检测，99%的常见后门都可以被找出，不会漏检：

1. 核心高危目录排查

苹果CMS的后门90%以上都藏在两个可写目录里，优先排查：

• 第一目录：/application/runtime/

  该目录是系统缓存目录，默认只存储日志和缓存数据，不应该存在任何可执行的.php文件，只要发现该目录下后缀为.php的文件，100%是后门，直接标记待处理。

• 第二目录：/static/upload/

  该目录是上传目录，默认只存储图片、视频等静态资源，不允许运行php文件，同样只要发现该目录下有.php文件，全部标记为后门。

• 第三位置：根目录陌生文件

  查看网站根目录，找最近7天内不是你自己上传的.php文件，尤其是文件名随机的文件（比如a1b2c3.php这种），全部标记为可疑。

2. 敏感代码全局搜索检测

如果高危目录没找到，用搜索功能全局搜后门敏感关键词，操作步骤：

• 进入网站根目录，打开文件管理的搜索功能，选择「搜索文件内容」
• 依次搜索以下关键词：eval、assert、base64_decode、system、shell_exec

搜索结果出来后，逐个打开文件查看，常见的一句话后门格式如下：

``` ```

注意：如果是你自己没有安装过的第三方插件，出现以上代码直接判定为后门；苹果CMS官方核心文件中不会出现加密的第三方执行代码，只要核心文件里有，就是被篡改了。

3. 核心文件篡改检测

黑客经常篡改后台登录文件留后门，重点检查两个文件：

• /application/controller/Admin.php
• /application/controller/Login.php

查看文件末尾，有没有额外添加的加密代码，如果有，直接标记被篡改，后续替换原版即可。另外还要登录网站后台，检查「系统设置-管理员管理」，有没有陌生的管理员账号，如果有，直接删除。

三、后门清理与漏洞修复步骤

检测出后门后，按照以下步骤清理修复，彻底解决问题：

1. 清理现有后门

• 独立的可疑后门文件：直接删除即可，不会影响系统正常运行
• 被篡改的核心系统文件：下载对应版本的官方原版安装包，解压后直接替换被篡改的文件即可
• 后台发现的陌生管理员账号：直接删除，然后修改自己管理员账号的密码，设置为12位以上的字母数字混合密码

2. 配置目录防后门权限

清理完成后，需要给两个高危目录禁止php执行，防止后续被上传后门，根据你的web环境选择对应操作：

Nginx环境操作：

打开网站的nginx配置文件，在server{}段内添加以下规则，添加完成后保存重启nginx：

``` location ~ ^/application/runtime/.\.php$ { deny all; } location ~ ^/static/upload/.\.php$ { deny all; } ```

如果是宝塔面板，操作路径：网站 -> 设置 -> 配置文件，拉到最末尾，在最后一个}之前添加以上代码即可，保存后自动生效。

Apache环境操作：

分别在/application/runtime/和/static/upload/两个目录下，新建名为.htaccess的文件，写入以下内容保存即可：

``` Order Allow,Deny Deny from all ```

3. 基础安全加固

最后做三个基础加固，避免再次被入侵：

• 修改后台入口路径

  打开根目录下的application/config/app.php，找到后台前缀配置项，修改为自定义的复杂路径，不要用默认的admin，修改后的配置如下：

  ``` // 后台入口标识 'admin_prefix' => '自定义你的复杂后台路径', ```

  修改后，你的后台地址变成你的域名/index.php/自定义路径/，大大降低被扫描猜到的概率。

• 不要使用第三方破解/去水印版本

  网络上流传的苹果CMS破解版、去水印版绝大多数都内置了后门，安装即被入侵，一定要用官方原版源码。

• 关闭目录浏览权限

  如果你的服务器开启了目录浏览，nginx中找到配置项autoindex on;修改为autoindex off;，重启web服务即可，避免黑客遍历你的文件。

四、后续定期维护

每月定期做一次简单检查即可，步骤：

• 登录服务器查看/application/runtime/和/static/upload/两个目录，有没有新增的php文件，有就直接删除
• 登录后台查看管理员列表，有没有陌生账号
• 及时更新苹果CMS到最新官方版本，修复已知安全漏洞

按照以上步骤操作，就可以彻底检测清理后门，并且修复漏洞避免再次被入侵。