PHPCMS网站防篡改设置 手把手实操配置全攻略

很多用PHPCMS搭站的朋友，肯定都遇过网站被挂黑链、页面被恶意篡改的糟心事儿。本来做得好好的站，莫名其妙多了一堆乱七八糟的导流广告，严重的直接被搜索引擎降权拔毛，找谁说理去？

先把核心目录权限锁死

其实PHPCMS大部分篡改问题，根源都是攻击者拿到了可写权限改了核心文件。说白了你把不该开放写权限的目录锁好，80%的问题直接就没了。

• 根目录下的 uploads 目录，只留读取权限，不要给执行权限，一般设置成755就足够，千万别全开777
• statics 静态资源目录，同样设置755权限，做到可读写不可执行
• 存放配置的 config 目录，直接把权限改成444只读，改都改不了，攻击者拿到权限也动不了核心配置

如果用的是Linux服务器，不会在面板改权限，直接一行命令就能搞定config目录权限，复制粘贴就行：

``` chmod -R 444 ./config ```

这步真的花不了五分钟，很多人图省事全目录开777，这不等于给小偷敞开大门还留钥匙吗？

改掉默认后台路径，把入口藏好

你有没有发现，默认的PHPCMS后台地址就是xxx.com/admin.php，攻击者扫端口扫路径，一抓一个准？改个名字不费劲，风险直接降大半。

改后台入口文件名

直接把根目录的 admin.php 改成只有你自己记得住的不规则名字，比如改成myadmin678.php这种，别说攻击者，你自己记不对都进不去，安全性直接拉满。

给后台加IP限制

如果平时只有固定几个IP登录后台，直接在服务器端配置白名单，只允许指定IP访问后台路径。这招直接把99%的扫后台攻击挡在门外，亲测好用。

用上系统自带的文件校验功能

很多人不知道，PHPCMS本身就带文件防篡改校验功能，放着不用真的太浪费了。

你登录后台之后，找到 扩展 → 文件校验 这个入口，点一下扫描，系统会自动对比核心文件的MD5值，哪个文件被改了、多了未知的恶意木马文件，一眼就能看出来。

嫌手动扫描麻烦，可以配合服务器的定时任务，每周自动扫一次，有异常直接发邮件通知你，早发现早处理，别等站被K了才反应过来。

服务器层面再加一层保险

光靠程序本身设置不够，服务器端再加一道锁，基本就万无一失了。

• 可以用服务器自带的防篡改模块，比如Nginx限制异常访问频率，或者用web配置文件拦截非法的恶意请求
• 如果用的是云服务器，直接开服务商提供的网页防篡改服务，相当于给核心文件放去了保险柜，谁都改不动

说白了，PHPCMS防篡改真的没什么高深技术，就是把这几步基础操作做好，别嫌麻烦。等真的被篡改完，被搜索引擎降权了，再去恢复，那付出的时间精力，可比这十分钟设置多多了。