部署完源码忘删install目录，半夜被陌生人改了后台密码，全站被挂跳转

前两年我第一次部署PbootCMS源码，按照教程上传完文件，填完数据库信息就直接进后台发文章，觉得部署完了，根本没想起要删install那个安装目录。结果第三天早上我登后台，密码不对，当时以为自己记错了，点找回密码，发现后台绑定的邮箱已经被换成陌生邮箱，我当时冷汗就下来了。 赶紧去宝塔看文件，install目录里的文件还好好在那，进去直接就能重新走安装流程，填新的数据库信息，直接把后台管理员密码重置成人家的。我赶紧看网站前台，打开首页隔两秒就自动跳转到一个赌博网站，当时是早上七点，我看着前台直接懵了，这要是被百度收录，站点直接就废了。 后来我赶紧把install目录整个删了，重置数据库管理员密码，换了服务器SSH密码，把网站所有文件扫了一遍，清掉藏在模板里的跳转代码，去百度站长平台提交申诉说已经清理完挂马内容，前前后后折腾了一周才恢复正常访问。那时候我才知道，不管什么CMS，只要安装目录不删，任何人都能直接访问这个目录，重新走一遍安装流程，把你整个站的数据库覆盖，后台密码直接改成他自己的，根本不需要什么复杂的黑客技术。 我后来带新手做站，每次部署完源码第一件事就是删install目录，甚至有的CMS在你安装完之后会提示你“出于安全考虑请删除install目录”，很多新手看完就关了，根本不手动删。现在我不管装什么程序：Z-Blog、WordPress、PbootCMS、帝国CMS，装完第一步就是把安装目录删了，权限设置好，这是最低级也是最容易踩的坑。 那次之后我还碰到过新手装完程序，连后台默认密码都不改，admin/admin，我直接顺着默认地址登进去，他整个站的内容我都能改。这些真的不是什么高深的安全问题，都是部署完顺手就能做的小事，但就是这些小事，能让你半年的内容直接被别人拿走。现在我部署完程序，检查清单第一项就是删install目录、改后台默认密码、改数据库默认账号，这三步做完再开始发文章，再也没出过这种半夜被改密码的事。