帝国CMS恶意代码清理全攻略 快速彻底去除隐患实用方法

你有没有发现自己用帝国CMS做的站好好的，突然就跳奇怪的广告、首页关键词被改得乱七八糟？甚至后台登进去还多了一堆陌生的管理员账号？这基本就是被挂恶意代码了，别慌，我这几年清了不下百个帝国CMS的恶意脚本，踩过的坑能绕服务器三圈，今天把压箱底的招都给你抖出来。

先做前置准备，别上来就瞎删文件

这事儿吧你上来就删文件铁定要后悔，万一删错系统核心文件，站直接炸了哭都没地方哭。先把整个站点目录+数据库全量备份到本地，哪怕你后面清崩了也能回滚，啥损失都没有。备份完先别碰线上文件，先拉个本地副本扫，省得清到一半黑客又给你重新挂马，白忙活。

重点扫这几个高频挂马目录就行

帝国CMS的坑就在它的动态目录、缓存目录、上传目录很多人权限开得太大，黑客随便就能写文件。你不用全目录瞎翻，重点盯这几个文件夹准没错：

• /d/ 动态脚本目录，尤其是里面的ajax、search相关的php文件，很多木马会伪装成系统自带的文件藏在这
• /html/ 静态生成目录，要是静态页被挂了跳转代码，你清了动态文件也没用，过会重新生成又出来了
• /upload/ 上传目录，别以为只有图片就能放松，黑客经常把php木马后缀改成jpg骗过上传验证，实际能正常执行
• /e/admin/ 后台目录，要是你没改默认后台路径，恭喜你，这地方基本是黑客重灾区，多出来的陌生php文件直接删

扫文件的时候别光看修改时间，很多黑客会把木马的修改时间改成和系统文件一模一样，蒙混过关。你直接搜特征码就行，常见的恶意代码特征：eval、base64_decode、gzinflate这些加密函数，要是普通的系统文件里突然出现一大段乱码一样的加密内容，十有八九是马，直接删没商量。

数据库里的恶意代码也要清，不然等于白干

很多人清完文件就以为完事了，结果过两天恶意代码又出来了，骂完服务器骂帝国，其实是你没清数据库里的残留。先去搜数据库里的所有text、varchar长字段，尤其是后台配置、模板内容、栏目内容这几块，黑客最喜欢把跳转脚本插在网站公共头部尾部的模板里，你后台改模板的时候看不见，实际前端一加载就触发。

举个例子你可以直接用这条SQL搜，记得把前缀换成你自己的数据库前缀： ```SELECT FROM phome_enewspubtemp WHERE temptext LIKE '%

清完一定要打补丁堵漏洞，不然还会被挂

说白了清理只是事后补救，你不把黑客进来的口子堵上，过不了三天又给你挂满。先把帝国CMS升级到最新的官方版本，老版本的上传漏洞、SQL注入漏洞一抓一大把，不升等于给黑客留大门。然后把默认的后台路径/e/admin/改成别的，随便改成啥稀奇古怪的都行，别用默认的，黑客扫站第一个就试这个路径。

还有目录权限赶紧调，/html/、/upload/这种不需要执行php的目录，直接给只读权限，禁止执行脚本，就算黑客传了马上来也跑不起来。后台最好再加个二次验证，别光靠账号密码，现在很多验证码插件花十分钟就能装上，能挡90%的暴力破解。

对了别随便去网上下未知来源的帝国CMS模板、插件，很多里面都预植了后门，你装的时候就等于把服务器钥匙给别人递过去了。要是你自己实在搞不定，也别乱找野教程瞎操作，我见过太多删错核心文件导致几年的站直接报废的，实在不行就找官方或者靠谱的运维帮你清，花点小钱总比心血没了强。