PbootCMS是一款永久開源且免費(fèi)的PHP企業(yè)網(wǎng)站開發(fā)建設(shè)管理系統(tǒng)，采用高效簡(jiǎn)潔的模板標(biāo)簽和PHP語言開發(fā)，支持多種URL模式及自定義地址名稱，滿足網(wǎng)站推廣優(yōu)化需求。它提供響應(yīng)式管理后臺(tái)、在線升級(jí)功能，并支持內(nèi)容模型、多語言、自定義表單等多種功能。系統(tǒng)內(nèi)置SEO優(yōu)化功能，助力網(wǎng)站提升搜索引擎排名，廣泛用于企業(yè)、政府、電子商務(wù)和教育等領(lǐng)域，致力于為用戶提供最佳的網(wǎng)站開發(fā)建設(shè)解決方案。

雖然PbootCMS非常優(yōu)秀，但漏洞也是挺多的。沒辦法，誰叫PbootCMS的功能那么強(qiáng)大呢，功能越是強(qiáng)大，就越容易出漏洞。要解決PbootCMS經(jīng)常被黑問題（上傳Webshell、網(wǎng)頁(yè)劫持、掛馬、篡改、SQL注入攻擊），需要做一些必要的安全防護(hù)措施。我們接下來就一步步講解如何部署PbootCMS安全防護(hù)規(guī)則。

安全防護(hù)需要一套完整的防護(hù)體系才能解決問題，非單個(gè)防護(hù)功能可以實(shí)現(xiàn)。因此我們需要從防篡改、防注入（WAF）等方面入手，主要使用以下防護(hù)模塊：

1、 文件防篡改

2、 防SQL注入、防XSS攻擊

3、 后臺(tái)訪問保護(hù)

4、 Webshell防護(hù)

一、 文件防篡改

可以使用文件ACL實(shí)現(xiàn)，也可以使用防篡改軟件實(shí)現(xiàn)。文件ACL防篡改設(shè)置非常復(fù)雜，不適用大部分用戶，暫不予考慮。使用防篡改軟件最擔(dān)心的是副作用，怕出現(xiàn)雖然能防止篡改，但卻影響網(wǎng)站日常管理的情況。因此我們推薦使用《護(hù)衛(wèi)神.防入侵系統(tǒng)》，因?yàn)槠鋬?nèi)置PbootCMS的防篡改規(guī)則，只需要一鍵設(shè)置即可開啟防篡改功能（如下圖一），并且沒有副作用，不會(huì)給網(wǎng)站日常管理帶來影響。

 （圖一：PbootCMS防篡改規(guī)則模板）

如上圖所示，只需要填寫“網(wǎng)站目錄、安全模板、后臺(tái)地址”，點(diǎn)擊確定按鈕，就可以開啟防篡改了。若有人上傳webshell或篡改系統(tǒng)文件，會(huì)立即被攔截（如下圖二）

（圖二：護(hù)衛(wèi)神攔截黑客非法篡改文件）

二、 防SQL注入、防XSS攻擊

這兩個(gè)漏洞防護(hù)雖然可以通過修復(fù)程序源碼解決，但很顯然除了PbootCMS官方，我們自身幾乎沒法修改源碼，因此只有使用WAF來解決。我們?nèi)匀煌扑]使用《護(hù)衛(wèi)神.防入侵系統(tǒng)》，其內(nèi)置的“SQL注入防護(hù)”模塊，可以有效攔截針對(duì)PbootCMS的SQL注入攻擊和XSS跨站腳本攻擊。該模塊默認(rèn)已開啟（如下圖三），無需單獨(dú)設(shè)置。

（圖三：護(hù)衛(wèi)神防護(hù)SQL注入攻擊和XSS跨站腳本攻擊）

當(dāng)有黑客進(jìn)行SQL注入攻擊和XSS攻擊時(shí)，系統(tǒng)會(huì)自動(dòng)攔截，效果如下圖四。

（圖四：護(hù)衛(wèi)神有效攔截SQL注入攻擊和XSS跨站腳本攻擊）

三、 后臺(tái)防護(hù)保護(hù)

這個(gè)功能用于防止賬戶密碼泄露導(dǎo)致黑客合法進(jìn)入PbootCMS后臺(tái)，合法進(jìn)行篡改操作的情況（例如通過網(wǎng)站設(shè)置模塊植入惡意代碼）�？梢允褂谩蹲o(hù)衛(wèi)神.防入侵系統(tǒng)》的“后臺(tái)訪問保護(hù)”模塊實(shí)現(xiàn)，只需要填寫后臺(tái)地址、授權(quán)密碼和授權(quán)區(qū)域就可以了（如下圖五）。

（圖五：PbootCMS后臺(tái)保護(hù)模塊）

如上圖所示，對(duì)后臺(tái)admin.php進(jìn)行保護(hù)，成都地區(qū)用戶可以直接訪問后臺(tái)。非成都地區(qū)用戶訪問后臺(tái)時(shí)，會(huì)要求輸入授權(quán)密碼（如下圖六）

（圖六：攔截非法訪問PbootCMS后臺(tái)）

成都地區(qū)用戶或是輸入了正確的授權(quán)密碼的用戶，都可以成功訪問后臺(tái)（如下圖七）。

溫馨提示：設(shè)置城市區(qū)域授權(quán)一般不會(huì)產(chǎn)生安全風(fēng)險(xiǎn)，黑客和您同所城市的幾率幾乎為零。

（圖七：成功訪問PbootCMS后臺(tái)）

四、 Webshell防護(hù)

上述三步已經(jīng)解決PbootCMS安全問題，但我們不止步于此，而是做到更全面的安全防護(hù)，因此我們還需要對(duì)Webshell進(jìn)行防護(hù)。《護(hù)衛(wèi)神.防入侵系統(tǒng)》自研Webshell殺毒引擎，搭建有全球病毒監(jiān)測(cè)網(wǎng)，自動(dòng)收集各種Webshell樣本，查殺率高達(dá)99%。為了提升查殺效果，《護(hù)衛(wèi)神.防入侵系統(tǒng)》具有四重查殺機(jī)制，在上傳時(shí)、保存時(shí)、請(qǐng)求時(shí)、訪問時(shí)都會(huì)進(jìn)行查殺，讓W(xué)ebshell無處遁形，對(duì)于變種木馬也能自動(dòng)識(shí)別。

首先通過“木馬防護(hù)”模塊，實(shí)時(shí)監(jiān)測(cè)網(wǎng)站文件變化，發(fā)現(xiàn)Webshell，立即查殺。

然后會(huì)在上傳文件時(shí)，查殺上傳內(nèi)容，阻止黑客上傳Webshell。

當(dāng)用戶請(qǐng)求靜態(tài)文件目錄下的木馬時(shí)，系統(tǒng)會(huì)立即攔截，阻止觸發(fā)Webshell。

當(dāng)用戶訪問網(wǎng)頁(yè)時(shí)，還會(huì)對(duì)輸出數(shù)據(jù)進(jìn)行查殺，防止Webshell流出服務(wù)器，攔截效果如下圖八。

（圖八：攔截Webshell流出服務(wù)器）

使用《護(hù)衛(wèi)神.防入侵系統(tǒng)》，經(jīng)過上述全方位的安全部署，您的PbootCMS將變得非常安全，可放心使用！

【護(hù)衛(wèi)神.防入侵系統(tǒng)，擁有上百項(xiàng)安全防護(hù)模塊，點(diǎn)此查看演示】