2023年夏天，一个做外贸站的朋友半夜给我发消息，说网站被挂马了。首页被跳转到博彩页面，服务器里多了十几个PHP文件。我上去看了一眼，立刻问他：你是不是用EyouCMS？他愣了一下，说对，两年前建的站，一直没升级。

这不是我第一次碰到EyouCMS出问题。这套国产CMS在中小企业和建站公司里用得很多，模板丰富、上手快、免费版功能就够用。但它的安全记录，说实话，不太好看。

EyouCMS是什么，谁在用

EyouCMS是基于ThinkPHP开发的内容管理系统，主要面向企业官网、外贸站、营销落地页。国内大量建站工作室拿它当主力工具，因为后台操作简单，客户自己就能改内容。免费版没有授权限制，商业版价格也不高，所以铺货量相当大。

问题恰恰出在这里——用户基数大，代码审计的人就多，漏洞一旦被发现，传播速度极快。

几个真实的漏洞案例

2021年，EyouCMS被曝出一个SQL注入漏洞，影响多个版本。攻击者可以通过构造特定的请求参数，直接读取数据库里的管理员账号密码。当时圈子里流传的EXP脚本，随便一个脚本小子拿过来就能用。

更早之前，还有文件上传漏洞。后台的文件管理功能过滤不严，上传一个伪装成图片的PHP文件，然后直接访问，就能拿到WebShell。我见过一个案例，攻击者上传了Shell之后，没急着搞破坏，而是先翻了数据库，把客户的询盘信息全部导走了。这种损失比首页被篡改严重得多——数据泄露，客户可能几个月后才发现。

2022年又出了一个前台任意文件读取的漏洞。不需要登录后台，构造URL就能读取服务器上的敏感文件，比如数据库配置文件。拿到数据库账号密码之后，剩下的操作就顺理成章了。

为什么漏洞反复出现

我翻过EyouCMS的部分源码。坦率地说，代码质量参差不齐。有些地方用了ThinkPHP的查询构造器，参数绑定做得还行；但另一些地方直接拼接SQL，过滤函数写得敷衍。文件上传的校验逻辑也有问题，只检查了扩展名，没检查文件内容。

还有一个原因是更新频率。EyouCMS的版本迭代不算慢，但很多用户根本不升级。建站公司做完站就交付了，客户不懂技术，后台的升级提示点了“稍后提醒”，然后就永远稍后了。我那个朋友就是典型，网站上线后两年没动过，漏洞公告他从来不看。

实际影响有多大

被挂马只是表面现象。更常见的是网站被用来做黑帽SEO——攻击者在页面里植入大量隐藏链接，指向博彩、色情网站。搜索引擎收录之后，网站权重被拉低，甚至被K站。做外贸的站被K，等于直接断了询盘来源。

还有一种情况是服务器被当成跳板。攻击者拿到Shell之后，不碰你的网站，而是利用服务器资源去扫描其他IP、发送垃圾邮件。等到IDC封停服务器的时候，站长老老实实去交罚款，还不知道发生了什么。

怎么防

最直接的办法：及时升级。EyouCMS官方发布安全补丁后，尽快更新到最新版本。如果因为二次开发不能直接升级，至少要把漏洞涉及的文件手动打上补丁。

后台入口改掉。默认的admin路径太容易被扫描器盯上，改成自定义路径，再加个IP白名单，能挡掉大部分自动化攻击。

文件上传目录禁止执行PHP。这个在Nginx或Apache里配置一下就行，上传目录只允许静态文件访问。就算被上传了恶意脚本，也执行不了。

数据库账号权限收紧。不要用root连数据库，单独建一个账号，只给必要的增删改查权限。这样即使被注入，攻击者也没法通过数据库提权。

最后，定期看日志。服务器访问日志里出现大量奇怪的POST请求，或者某个IP频繁访问特定文件，这些都是信号。别等网站被跳转了才去查。

EyouCMS本身不是不能用，但它需要你花点心思维护。建站公司交付之后，客户自己不管，建站公司也不管，这种“三不管”状态才是最大的安全隐患。漏洞会一直有，区别在于你有没有把它当回事。