上周接了个朋友的急单，他开了三年的本地装修站，突然弹出一堆博彩链接，后台还登不上。查了一上午才发现，是他的迅睿CMS后台密码三年没换，后台目录还暴露着，被人扫到直接撞库了。
你是不是也觉得，用了开源的迅睿CMS，自己不是程序员就不用管安全？反正有官方更新？别犯傻！官方更的是核心漏洞，自己的密码、目录、插件才是重灾区。今天这篇，我把做了五年的迅睿安全维护经验全掏出来，你跟着点就行，不用懂代码。
一、先把“家门钥匙”和“家门位置”看好
这俩是基础中的基础，漏洞概率占了迅睿站点问题的70%以上，千万不能嫌麻烦。
1. 第一时间换后台目录和账号密码
很多人装完迅睿，直接用默认的admin.php当后台入口，账号密码也随便填个admin123，这等于把家门钥匙插在锁上喊小偷。
- 改后台入口目录：打开你网站的根目录，找到那个叫admin.php的文件，直接重命名就行，比如改成zhuangxiu_houtai123.php，别用太简单的，加点数字字母或者下划线，也别告诉太多人。
- 换超管账号密码：如果还能登后台的话，进后台找到“用户-管理员管理”，把默认的admin账号删了，重新建一个。密码别用生日、手机号、纯数字，至少要8位，混合大小写、数字、特殊符号，比如Zhuangxiu2024!，实在记不住可以找个靠谱的密码本或者密码管理器存。
避坑提醒：改完admin.php一定要记牢新地址，最好存手机备忘录或者电脑桌面标签栏，不然自己也登不上，还要去数据库改，麻烦死。
2. 把没必要的“后门”焊死
迅睿CMS装完有几个测试用的目录或者文件，官方虽然说生产环境要删，但很多人懒得动，这都是隐患。
- 删测试文件和目录：去根目录找一下，有没有install、test、demo、api/demo这类文件夹，直接全删干净。还有有没有install.php、test.php这类文件，也一起删掉。
- 关会员注册以外的公开接口：如果你的站不需要会员投稿、不需要开放API，进后台“系统-系统设置-系统功能”，把“开放API”“前台投稿”“游客评论（如果不需要的话）”这类开关全关掉，接口越少越安全。
二、给站点加层“防盗门”——官方更新和安全配置
刚才焊的是小窟窿，官方更新是补大墙，配置是加固门框，这俩配合着来才稳。
1. 每周刷一次官方更新，手动装别偷懒
很多人打开后台看到有更新提示，要么忽略要么点自动更新，自动更新有时候会因为服务器环境失败，漏更几个文件更危险。
- 怎么查更新：进后台首页就能看到红色或者橙色的更新提示，点进去能看到更新了什么，比如补了什么SQL注入漏洞，有没有更新必要。
- 手动更新的简单方法：先备份你的数据库和整个网站文件（这个待会单独讲），然后去迅睿CMS官网下载对应的升级包，解压后覆盖到根目录就行，覆盖的时候别删自己的template、uploadfile、config文件夹，这些是你自己的东西。
举个例子：我之前有个客户的站，用的是2022年的旧版本，没更，被人用SQL注入拖走了全部会员信息，赔了不少钱才摆平。
2. 后台开安全防护，别嫌验证码烦
迅睿CMS自带了不少安全配置，很多人嫌麻烦没开，其实开了能挡90%的自动扫描攻击。
- 开启登录验证码和失败锁定：进后台“系统-系统设置-安全设置”，把“后台登录验证码”“前台登录验证码（如果需要的话）”都开启，失败次数设成3次，锁定时间设成30分钟，这样别人撞库撞3次就不能试了。
- 限制后台登录IP：如果你的办公地点固定，家里也有固定IP，就把家里和公司的IP都填进去，进后台“系统-系统设置-安全设置-后台IP白名单”，一行填一个IP，这样只有填了的IP才能登后台，别人就算拿到密码也进不来。
三、每月做一次“大扫除”——文件和插件检查
就像家里放久了会落灰一样，网站放久了也会有过期插件、恶意文件，每月扫一次很有必要。
1. 删掉不用的插件和模板，只留必要的
很多人装完迅睿，为了试功能装了一堆插件和模板，试完就忘了删，这些第三方的东西最容易有漏洞。
- 检查并删除插件：进后台“应用-插件管理”，看看哪些插件是半年以上没用到的，直接卸载并删除文件，别只卸载。
- 检查模板文件：进后台“界面-模板管理”，看看除了你正在用的模板，其他的都删掉。还有自己上传的template文件夹里，有没有多余的文件，比如test.html、旧的备份文件，也一起清理。
避坑提醒：第三方插件最好只去迅睿CMS官方应用市场下载，别去百度随便搜破解版，破解版里大概率藏着后门。
2. 用官方工具扫一遍恶意文件
虽然不能完全依赖工具，但官方的免费工具还是能扫出大部分问题的。
- 下载官方安全扫描插件：去迅睿CMS官方应用市场搜“安全扫描”，下载安装免费版的就行，安装完进插件，点“一键扫描”，等个几分钟就能出结果。
- 处理扫描结果：如果扫到有可疑文件，先备份一下，然后对比一下官方的原始文件，看看是不是被篡改了，如果是，直接用原始文件覆盖。如果是陌生的文件，直接删掉就行。
四、每周做一次“双备份”——出了问题能救回来
就算前面的都做好了，也有可能中招，备份是最后的救命稻草，一定要养成习惯。
- 备份数据库：进后台“系统-数据库管理-数据库备份”，点“一键备份”，备份完把备份文件下载到电脑和U盘里，别只存在服务器上。
- 备份网站文件：用FTP工具（比如FileZilla）登录服务器，把整个根目录的文件打包下载下来，同样存到电脑和U盘里，或者用云盘存一份，多重保障。
好了，今天的干货就分享到这里，步骤是不是超简单？你现在打开电脑，花10分钟先把后台入口和密码改了，再把测试文件删了，明天再花5分钟开个安全配置，下周再做个备份和插件检查，这样你的迅睿站点基本就安全了。别等出事了再后悔，现在就行动起来吧！
