苹果CMS后台越权漏洞排查与全流程修复实操指南

有没有用苹果CMS做资源站的朋友，碰过后台莫名其妙被改、资源批量被删、甚至超级管理员权限都被夺的情况？别怀疑，90%是踩了后台越权这个老漏洞的坑。

先确认你家站点有没有中招

这个漏洞说白了就是低权限账号能跳过权限校验，直接访问只有超级管理员能操作的接口，就像你家卧室门没锁，不管是快递员还是陌生人进了家门就能随便翻你东西。

排查方法超简单，30秒就能测完

你先去后台建个普通编辑账号，只给上传资源的最低权限就行，千万别用自己常用的超级管理员号测，避免手滑改坏配置。登这个低权限号之后，直接在地址栏输入你后台地址加后缀`?m=admin&a=edit`，要是能直接进入超级管理员信息修改页，不用想，你的站已经在漏洞风险名单里了。

修复操作没你想的复杂，半钟头就能搞定

其实这个漏洞就是当初鉴权逻辑写漏了，改两个文件的事，不用动核心业务代码，也不会影响你站里已经有的资源和收录。

先找到路径/application/admin/controller/Base.php文件，这个是所有后台请求的基类，原来的鉴权逻辑只判断了用户有没有登录，没校验当前登录用户的权限有没有资格访问对应的节点。找到里面的`initialize`方法，把原来的鉴权代码换成下面这段：

```php // 原有登录校验逻辑保留，下面加权限节点校验 $request = request(); $node = strtolower($request->controller() . '/' . $request->action()); $admin = session('admin'); // 超级管理员跳过校验，其他账号必须匹配权限节点 if ($admin['id'] != 1 && !in_array($node, $admin['permission_nodes'])) { $this->error('你没有当前操作的权限', url('admin/index/index')); } ```

改完这个别着急关，还有个很多人都会漏的地方，就是后台全局路由的拦截。苹果CMS默认的路由规则没有做模块级别的权限校验，万一有人猜到了其他未公开的后台接口地址，还是能绕开刚才的基类校验。

去根目录下的/application/route.php里加一段全局路由规则，把所有admin模块的请求都绑定到Base基类的鉴权逻辑上，代码贴下面：

```php // 后台模块全局权限拦截 Route::group('admin', function () { // 原有后台路由规则保留 })->middleware(function ($request, $next) { $admin = session('admin'); if (!$admin) { return redirect(url('admin/login/index')); } $node = strtolower($request->controller() . '/' . $request->action()); if ($admin['id'] != 1 && !in_array($node, $admin['permission_nodes'])) { return json(['code' => 0, 'msg' => '无操作权限']); } return $next($request); }); ```

修完别直接不管了，这几步验证得做全

别改完代码就觉得万事大吉，先拿刚才的低权限号再测一遍之前的高危接口，看是不是会提示无权限，要是直接拦下来了就说明修到位了。

然后再切回自己的超级管理员号，把后台常用的功能都点一遍，比如添加资源、修改配置、管理用户这些，别改完鉴权逻辑把正常的管理功能给拦了，到时候自己都操作不了就尴尬了。

最后顺手把后台默认的入口文件名admin.php给改了，改成啥乱七八糟的名字都行，比如`my_admin_888.php`，别让批量扫漏洞的脚本轻易找到你后台入口，相当于给你家大门再加了道防盗门。

说真的别觉得自己站小没人盯上，现在市面上批量扫苹果CMS漏洞的脚本多到数不过来，你今天没中招只是人家还没扫到你，真等数据被删、站点被挂黑链的时候再想修，损失都挽不回来。我前阵子还碰过个站长，刚做起来的20万收录的影视站，被人用这个漏洞把所有资源链接改成菠菜站，不仅赔了几万的广告费，排名直接掉没了，太可惜了。