宝塔面板的善与恶：宝塔国内版收集用户服务器隐私数据

图/文：迷神

国内的某些公司做着做着就喜欢动些歪脑筋，手脚总是不那么干净，居心不可谓不险恶。

几天前各大论坛贴满了关于宝塔后门搜集隐私信息的帖子，网友附上了详细的宝塔搜集信息并上传到服务器的代码和 *** 作流程，附带搜集信息的证据。我虽然对宝塔面板无感，但是手里的也服务的客户使用了宝塔，于是上去查看了一番，果然，发送的日志位于：

/www/server/panel/logs/request

看看里面的日志，甚至把部分代码都提交给了宝塔，如果你的数据库配置文件在线修改了，而且配置文件文件比较少了话，很可能被被上传到宝塔上。

宝塔提交服务器的日志，包括服务器的一些 *** 作日志，保存格式为：[“ *** 作时间”, “你的 IP(非服务器 IP):1000”, “POST”, “url地址/login?”, “用户 UA”, “{}”, 39]

着实想不通宝塔收集用户 *** 作信息到底想干嘛？纯陪裂属实没必要吧？有何资格收集，就因为使用你们家面板？居心又何在？？？

一、宝塔收集收集用户面板 *** 作日志的部分信息.

由/class/public.py文件的 write_request_log 搜集，并保存到:/www/server/panel/logs/request/

由 /script/site_task.py ，logs_analysis的函数，定时发送到宝塔服务器部分信息乱铅：

PS：他们的证书也涉嫌获取服务器的所有域名信息。

其实，我很反感某些公司，天天就各种不安分的小手脚。修复方法也简单，可以把 相关代码注释掉。更狠点的话，做闭可以

最后，真心建议，宝塔这样的公司和他们家的产品，该换就换，还是别用了吧！怪可怕的。

要自己写一个反爬销搏清虫的代码。

在目录下新建空白PHP文件kill_bot。conf，然后放入代码。

进入宝塔/网站/设置/配置文件，在#SSL-STARTSSL相关配置上方空白行添加代码银仿：includekill_bot。conf。。亏前

进入宝塔面板后台，点击 文件 打开右侧文件管理页，如下图：

点击步1新增下拉，点击步2 新建空白文件。

注意：新建空白文件，请带上扩展名输入，比如：newfile.php或newfile.html等。

同枣衡理，步3新建目录 *** 作类似，就不赘述了。

1-2、基本 *** 作之查询文件

同样的，在页面的右上角，我们可以看到下图（3-6-3）：

在步1处输入要查询的文件名（支持模糊查询），查询时可以勾选 包含子目录 ，点击步3 提交查询后，下面会列表查询的结果。

1-3、基本 *** 作之在线编辑文件如下图（3-6-4），我们可以点击步1，2，搭闹3，4来快速选择知岩罩当前文件夹，点击步5  当前目录。

---