宝塔那个免费防火墙我真的建议你们删了吧，作者就没打算让你安全

讨论分享
, , ,
1

宝塔免费防火墙，我现在是强烈建议你们删了，永远别用了。
我掰扯他静默明文上传用户文件问题的个人博客文章是10点半发的，下午18点作者就更新了8.5版本。

你们猜他怎么修的？一共修了7行代码呢

6行是给http加了个s，1行是在静默上传用户文件的函数处加了一行注释“# 云端查杀。需要上传到云端进行研判。”

我… 我直接笑出鹅叫好不。

他这行注释是写给谁看的？！
是写给 Python 解释器看的吗？
还是写给作者的良心看的？
还是说宝塔面板可以智能到，发现这行注释，当用户在前端面板里点下“木马查杀”的时候，屏幕上会凭空弹出一行大字：“请注意，作者已经在源码里留了注释，即将把你的 PHP 源码送去云端研判”？！

以前不声不响静默上传，真掰扯，我也只能说有“未经授权的数据外传”；
作者现在加了这行注释，行为直接原地升华了，好嘛，变成了自欺欺人的“坦白从宽”。

然后，8.4 升 8.5 这种小数点后一位的升版，居然只是加个6个字母s和一行中文注释？？？纯粹就是傲慢与敷衍的结合体：“我看了到了报告，我知道问题在哪里，但我就是不修，我就偷偷上传你们的文件，我就是给黑客的攻击参数留下后门，我就是不修，你们免费的用户不配浪费我的时间去修复这些复杂问题”

谁要是真嫌自己服务器活得太安逸，那你就继续留着它吧。反正作者给你换上 HTTPS 之后，它偷你文件的时候，确实比以前更安详、更私密了呢。

5 个赞
2

woc，这么逆天 :rofl:

3

至今没用过各种面板，自己需求简单命令行就能搞定是主要原因，另一个原因就是不相信这些东西。

4

超级逆天

  • 处理 POST 请求时，只要参数名的长度超过 64 个字符，或者参数名叫 kw（搜索关键字）、body（正文）、content（内容）、msg（留言）、file 之类的名字……它就直接返回 false。绕过一切检测。
  • 只要把 Webshell 命名为 hackcnm.php，或者扔在 hackcnm/ 目录下，在木马查杀里就能享受到永久免检待遇了
  • 为了不误伤搜索引擎蜘蛛，设计了 PTR 反查机制，这确实是个很好的机制。但是，但是啊，在匹配域名时，使用的是无头无尾的模糊匹配，比如对百度的：string.find(ptrdname, “baidu”)。只要含有baidu就行。攻击者给自己的一台 VPS 配个类似 ‘baidu.攻击者自己的域名.com’ 的 PTR 记录，再带上百度蜘蛛的 UA 发起请求，这套防火墙的防护模块就可以被几乎全部绕过了
5

:face_with_raised_eyebrow: 这也太恶心了，还好几年前弃用这玩意了

6

还是那句话，现在谁还用面板啊 :laughing:

7

楼主列的几条里，PTR 那段最离谱：string.find(ptrdname, "baidu") 这种子串匹配，攻击者随便给 VPS 配个带 baidu 的 PTR 再挂蜘蛛 UA，防护等于自己把门打开。

hackcnm.php / hackcnm/ 硬编码免检也一样——等于把后门文件名写进产品说明书。8.4→8.5 只加个 https 的 s 和一行注释，改的是传输是不是加密，不是「会不会把你的 PHP 送走」。

还在用的，先卸免费防火墙这插件；面板本身要不要留另说。

8

过于逆天

9

已经算不错了，他匹配360爬虫更逆天，只配个数字0

1 个赞
10

主要是，他明显知道问题在哪里，但就是不打算修

11

过于逆天

12

防火墙作者（宝塔论坛的管理员，自称是技术）自己的博客都没有加证书，是HTTP的……牛逼不

13

宝塔不是被爆出有后门吗？好像还是付费的要实名绑定手机号？就这还有人用？

14

与其说后门，不如说像是「一个企业内网自用版的面板，被拿出来商业运营一样」
很多“后门”机制和逻辑，在企业内网这样搞是没问题的，甚至是必然和合理的，但是放在一个直连公网的服务器上就非常扯了。