免费下载CMS：安全获取，远离恶意软件

我清理过的最严重的一次网站感染并不是黑客造成的,而是来自一个ZIP文件。一位小店老板从一个声称"免费提供付费主题"的网站下载了一款"高级"WordPress主题,十一个月后,结账页面开始窃取信用卡号。CMS本身是干净的,但下载的包装有问题。免费下载的CMS既真正免费又真正安全, 但前提是来自正确的渠道,并且你花两分钟做一下检查。下面我介绍一下我通常是怎么做的。

真正安全的免费CMS下载来自哪里

每个合法的免费CMS都有唯一的一个官方来源,而绝不会是一个名字里带"免费下载"的网站。项目自己的官方域名,使用HTTPS,这就是全部规则。其他一切, 聚合站点、"CMS下载门户"、论坛镜像, 都是来路不明的二次上传,里面可能夹带了未知的东西。

• WordPress:仅限 wordpress.org。不是"wp-free-downloads",不是博客文章里的链接,也不是种子文件。
• Joomla:downloads.joomla.org。
• Drupal:drupal.org,通过发布页面或 Composer 获取。
• Grav、Pico、Bludit、WonderCMS:官方网站或其 GitHub 发布页面。
• 主题和插件:CMS 官方目录,或开发者自己的商店。
• Composer、npm 或你所用发行版的软件包也可以, 它们会从相同的官方源拉取,并附带校验和。

我比较信任的一个判断方法:真正的项目官网通常略显朴素。一个下载页面上有三个闪烁的"立即下载"按钮,大概率是在推广广告软件,而且其中两个按钮其实是别人放的。另一个好习惯:自己手动输入域名,或使用你之前验证过并收藏的书签,而不是点击搜索结果的第一个链接。恶意广告, 冒充官方下载页的付费广告, 是一种真实的分发渠道,伪造页面常常排在真实页面的前面。

破解版:免费下载的阴暗面

"破解版"(Nulled)是指去除了许可证校验的盗版付费主题、插件或 CMS 扩展。有人花 59 美元购买一个插件,去掉激活码,然后免费分发出去。问一个显而易见的问题:一个陌生人为什么会花钱让你免费使用?因为附加的恶意载荷才是真正的产品。压缩包里会悄悄地添加 SEO 垃圾链接网络的后门链接、供日后使用的管理员后门,或者一个在你安装后数月才激活的注入器, 那时候你早已不再把问题与那次下载联系起来了。

我有一个客户的 WooCommerce 商店用了将近一年的破解版滑块插件,期间没出现任何明显问题。然后信用卡窃取脚本按计划启动了。清理工作, 取证、强制重置密码、支付平台纠纷, 花费大约是插件正版许可证价格的四十倍。免费下载,昂贵的教训。

• 危险信号:网站提供"100% 免费、GPL 授权、已查杀病毒"的高级主题或插件。
• 危险信号:ZIP 文件内部文件夹名称与官方发布结构不符。
• 危险信号:安装程序要求你"为了兼容性"关闭杀毒软件。
• 危险信号:任何被描述为"已预激活"或"无需许可证"的东西。
• 危险信号:通过 URL 短链接、文件锁存服务或倒计时页面跳转的下载链接。

这些感染实际上会对你的网站做什么?大多数情况下是把它租出去。垃圾链接网络按千条购买注入的链接,用来提升药品和赌博网站的排名。僵尸网络运营者把你的服务器加入他们的 DDoS 池。信用卡窃取团伙专门盯着电商网站,因为结账页面就是信用卡号所在的地方。你那个只有五页的小博客也不会被他们放过;它是一种商品,市场价几美元,而且感染过程完全是自动化的。

运行免费 CMS 下载前需要检查什么

在解压任何文件之前,花三十秒做点功课能帮你省下整个周末。这是我的安装前检查清单,按顺序进行:

1. 域名与项目官方网站完全一致,逐字符核对。注意像"wordprress"这样被调换的字符。
2. 你下载的版本号存在于项目的官方发布说明或更新日志中。
3. 项目仍然活跃:过去十二个月内有提交、发布或安全公告。
4. 文件旁边发布了校验和或签名, SHA-256 哈希、GPG 签名,或两者都有。
5. 压缩包内包含一个许可证文件,内容符合预期:GPL、MIT 等。
6. 项目自己的论坛或问题跟踪页面上没有人对当前版本发出警告。

验证你下载的文件

校验和听起来很专业,但只需十秒。在 Windows 上,打开终端并切换到下载文件夹,运行:certutil -hashfile filename.zip SHA256。在 macOS 上:shasum -a 256 filename.zip。在 Linux 上:sha256sum filename.zip。将输出与官方下载页面上发布的哈希值逐字符比对。一致意味着文件与项目发布的完全相同。不一致就删除并从源重新下载, 不要进一步调查,也不要"先试试看"。

还有两个简单的检查方法。首先,把 ZIP 文件丢到 VirusTotal 等多引擎扫描网站扫描一下再打开。其次,扫一眼文件列表:CMS 核心应该是 PHP 文件、模板和静态资源。随机的.exe 文件、塞在主题文件夹里的混淆 base64 代码块,或类似 "license-keygen.php" 这种命名的文件,都是让你走开的信号。

在正式主机上安装而不把事情搞砸

大多数安装失败出在无聊的细节上,而不是恶意软件。检查 CMS 要求的 PHP 版本与主机实际运行的版本, 主机商很喜欢默认使用非常老的版本。创建一个全新的数据库,使用独立用户和强密码,并且不要在多个网站之间复用同一个数据库用户;一个站点被攻破,所有站点都会沦陷。安装时把数据库表前缀从默认值改掉,选一个不是 "admin" 的管理员用户名,凭据用密码管理器保存,而不是便利贴。

安装程序结束后:如果留下了安装目录就删掉,把文件夹权限设为 755、文件权限设为 644,并在继续任何操作前确认网站通过 HTTPS 正常加载。如果 CMS 支持,把配置文件移到 web 根目录之上。

顺便说一下一键安装程序,比如大多数共享主机都集成的 Softaculous:它们是合理的中间选择。它们从官方源拉取发布版本,处理数据库创建,并设置合理的权限, 对大多数人来说已经够用,而且比随机下载门户安全得多。代价是控制权:你只能使用主机打包好的版本,有时会落后一两个版本。如果是首次安装,享受这种便利。如果是涉及收入的网站,最终还是要学习手动方式,这样你才能清楚知道服务器上到底有什么。

免费 CMS 下载之后:第一小时的设置工作

1. 立即更新所有内容, 核心可能比当前补丁版本落后一两个小版本。
2. 删除默认内容、示例文章,以及未使用的捆绑主题和插件。无用代码就是攻击面。
3. 第一天就建立自动备份,备份到服务器之外的地方。
4. 强制使用 HTTPS,并将所有 HTTP 请求重定向到 HTTPS。
5. 开启登录保护:支持的地方启用两步验证,不支持的地方启用速率限制。
6. 写下你的恢复路径, 当一切归零时,如何恢复这个站点, 趁记忆还清晰。

还有一个值得了解的快捷方式:如果你想免费下载 CMS 只是为了运行一个从 Wayback Machine 恢复的网站,你可以完全跳过下载。Restorix 部署中包含一个免费的单文件 CMS,位于 /webarchive-cms.php, 支持内容编辑、搜索替换和文件管理,默认开启安全模式,每个站点都有随机生成的管理员密码。无需安装,无需数据库,也不从任何地方拉取文件,完美规避了本文讨论的所有问题。恢复流程详见教程。