宝塔面板后门被曝收集用户隐私信息，并附上上传用户信息的应急修复方案。

宝塔bt.cn是一个著名的国产主机控制面板。傻瓜式的操作让小白用服务器搭建了一个网站环境，从而赢得了大量用户。然而前几天各大论坛都是关于宝塔后门收集私人信息的帖子。让我们看看发生了什么:

宝塔面板官方网站:https://bt.cn/

宝塔服务器面板，一键全能部署管理，送你3188元大礼包，点我领取宝塔服务器面板，一键全能部署管理，送你3188元大礼包，点我领取https://www.bt.cn/?. invite _ code = mv 9 kag 5 wywk =

首先，网友po出了从宝塔收集信息并上传到服务器的详细代码和操作流程，有收集信息的证据。

第一步，收集安装包服务器上的域名，file/class/public.py，检查域名是否可用，/class/acme _ v2.py。

第二步:收集面板的操作日志，包括:时间、IP(*此处为操作面板用户的IP)、请求方式、请求路径、UA、操作动作等。

信息由/class/public.py收集并保存在/www/server/panel/logs/request/directory中。

存储格式为:第三步，通过/script/site _ task.py将收集到的信息打包发送到宝塔服务器..

由/task/bt-task.c定期执行，每小时执行一次。

以上消息均在https://blog.kieng.cn/2950.html.事件曝光后，宝塔连夜加班更新新版本:

网页调侃道:宝塔官方意识到了事态的严重性，第一时间进行整改，将用户信息上传1分钟一次改为2分钟一次。

正好我手里有一个装了bt的服务器。进去看看:

果然像爆料一样。

宝塔上传用户信息的应急修复方法；

国外VPS主机测评博客附带一个应急修复方法。当然，这只是目前网友发现的后门。我建议应该改。信息安全非常重要。除了宝塔面板，总结了Linux x下常见的web一键包运行环境和控制面板。

#清空脚本文件echo ” ” >/www/server/panel/script/site _ task . py #脚本文件写保护，防止内容被写回(即使是root，没有保护也不能写)chattr+I/www/server/panel/script/site _ task . py #清除所有统计日志RM -RF/www/server/panel/logs/request/* #对请求文件夹添加写保护，防止内容被写入chattr+I -r/www/server/panel/logs/。