PbootCMS 上传接口被利用的核心原因通常是后端对文件扩展名和 MIME 类型校验不严，防御的最快方式是直接在后台限制允许上传的文件后缀，并配合服务器权限控制。
先说结论：上传漏洞本质是信任了用户提交的文件名或内容，防御需要多层拦截，单靠 CMS 设置不够。
- 先判断：确认当前 CMS 版本及上传目录权限配置
- 优先做：后台限制上传类型并关闭上传目录执行权限
- 再验证：尝试上传测试文件确认拦截生效
- 必备份：修改配置前务必备份网站文件与数据库
操作前准备：版本确认与备份
在进行任何安全加固前，请先确认环境信息并做好备份，防止配置错误导致网站不可用。
1. 确认 CMS 版本：登录后台，查看页面底部版本号，或检查根目录下 core/version.php 文件。若版本过旧，建议优先查阅官方更新日志确认是否存在已知上传漏洞。
2. 确认上传目录路径：不要盲目假设路径为 /upload/。进入后台【系统设置】→【上传设置】，查看实际配置的文件存储路径。部分站点可能修改为 data/ 或其他自定义目录。
3. 备份网站与数据库：通过 SSH 或 FTP 备份整个网站目录，并导出数据库。例如使用以下命令备份文件：
cp -r /www/wwwroot/your_site /www/wwwroot/your_site_backup_$(date +%F)
防御配置实施
第一步：后台限制上传类型
进入 PbootCMS 后台，依次点击【系统设置】→【上传设置】。检查允许上传的文件扩展名列表，确保只包含业务必要的格式，如 jpg、png、gif、pdf 等。严禁保留 php、asp、jsp、sh 等可执行后缀。
第二步：关闭上传目录执行权限
这是最关键的一步。即使文件被上传，只要服务器不执行它，攻击就无法生效。请根据服务器类型选择配置：
Nginx 配置：
在站点配置文件中添加 location 规则，注意路径需与实际上传目录一致：
location ~* /upload/.*\.(php|php5|phtml|jsp)$ {\n deny all;\n}Apache 配置：
在上传目录下创建 .htaccess 文件。但需注意，部分虚拟主机禁止覆盖 PHP 配置，强行写入可能导致 500 错误。
# 尝试禁止 PHP 引擎\nphp_flag engine off\n\n# 若上述导致 500 错误，请删除上行，改用以下拒绝所有访问\n# Deny from all
注意：若修改后网站报错，请立即删除 .htaccess 文件并联系主机商确认 AllowOverride 设置。
第三步：强化服务器安全配置
检查 php.ini 配置，禁用高危函数如 exec、system、passthru 等。确保上传目录的操作系统权限设置为最小化，Web 服务器用户仅拥有写入权限，不应拥有执行权限。
怎么验证是否生效
1. 功能测试：在后台尝试上传一个后缀为 .php 的文件，系统应直接提示不允许或拦截请求。
2. 权限测试：若成功上传了一个文本文件并重命名为 .php（模拟绕过），尝试在浏览器访问该文件路径。如果配置正确，服务器应返回 403 Forbidden 或直接下载文件，而不是执行代码。
3. 日志检查：查看 Web 服务器访问日志和错误日志，确认是否有异常的 POST 请求或脚本执行尝试被记录。
常见风险与误区
1. 仅依赖前端验证：很多 CMS 的前端校验可以通过浏览器开发者工具轻易绕过，必须确保后端有严格的校验逻辑。
2. 上传目录权限过大：有些运维为了方便，将上传目录权限设置为 777，这极大增加了风险。应遵循最小权限原则，通常设置为 755 或 775，且属主应为 Web 服务器用户。
3. 忽略备份文件：有时攻击者不上传新文件，而是利用编辑器留下的备份文件（如 .bak、.swp）获取源码或权限，需定期清理无用文件。
4. 未更新系统：开源 CMS 会不断修复已知漏洞，长期使用旧版本会暴露于已知攻击面下，应定期检查官方更新。