帝国CMS网站防XSS攻击实操配置指南 零基础也能快速落地

先搞懂XSS对帝国CMS站的危害到底有多大

别觉得XSS离你远，我前两年帮朋友维护的地方资讯站，就是留言板没做过滤，被人挂了跳转脚本，半个月百度收录直接掉了7成，整改了俩月才回来。这还只是最基础的危害，要是被人偷了管理员cookie直接进后台，你整个站都能给删干净，哭都没地方哭。

后台核心参数先调对，堵死大部分攻击入口

先把系统自带的过滤功能拉满

帝国CMS本身其实自带了XSS过滤，很多人嫌麻烦刚装完就给关了，纯属脑子进水。你进后台找系统设置-系统参数设置-信息设置，里面有个“是否过滤前台投稿内容的HTML代码”直接选是，还有“前台提交内容保留的HTML标签”，只留你能用的，比如p、img、a这些就行，script、iframe、on开头的属性全给干掉，别舍不得，留的越多风险越大。

登录页、后台路径单独做过滤

很多人忽略后台的过滤，觉得别人找不到后台地址就没事，纯属自欺欺人。你打开/e/admin/下的index.php，在最顶部加一段过滤代码，直接粘就行： ```php // 后台全局XSS过滤 function remove_xss($val) { $val = preg_replace('/]?>.?<\/script>/si', '', $val); $val = preg_replace('/on[^>]?=[^>]?/i', '', $val); $val = preg_replace('/]?>.?<\/iframe>/si', '', $val); return htmlspecialchars($val); } foreach ($_GET as $k => $v) $_GET[$k] = remove_xss($v); foreach ($_POST as $k => $v) $_POST[$k] = remove_xss($v); ``` 粘完之后所有往后台传的参数都会自动过一遍滤，啥恶意脚本都插不进来。

前台交互入口单独加固，别留死角

最容易出问题的就是留言板、评论、投稿这些用户能随便输内容的地方，别光靠系统自带的过滤，自己再加一层保险。比如你用的是默认的留言板插件，打开/e/enews/gbook/index.php，把用户提交的内容所有特殊字符都转义，尤其是nickname、content这些字段，直接用htmlspecialchars()函数包一层就行，简单的要死，十分钟就能改完。还有上传接口，别允许上传html、js格式的文件，哪怕是压缩包也得扫一遍里面有没有脚本文件，不然被人传了个webshell上去你都不知道。

做完配置一定要自己测一遍，别嫌麻烦

很多人选完设置就不管了，有没有生效都不知道，你自己测啊，找个评论框输一段，要是能提交成功还弹框，说明你过滤根本没生效，回去再改。要是提交之后脚本被删了或者转成纯文本了，那才是对的。要是你自己不会测，网上找个免费的XSS扫描工具跑一遍，十几分钟的事，总比被人搞了站再后悔强。

说白了帝国CMS防XSS真的没那么复杂，很多人出事就是懒，装完系统啥配置都不改就上线，那不搞你搞谁。按照我这一套改完，99%的XSS攻击都能防住，小站点完全够用，真要是流量大的站，再配个云WAF，基本就稳了。