Discuz附件目录设成777，被人传了php木马，论坛差点被接管

18年帮本地论坛搭Discuz，为了传图片方便，把附件目录权限直接设成777，所有人都能读写，结果上线一周，在附件目录里发现了个php的一句话木马，是有人传图片的时候，把后缀改成php传上来的，因为目录权限是777，脚本直接把这个php文件写进去了。我当时赶紧把附件目录的权限改成644，禁止执行php权限，把后门文件删掉，又给Discuz的附件上传加了后缀白名单，只允许jpg、png这些图片格式，再也不允许传php文件。之前总觉得目录权限设成777，传文件不会报错，根本不知道777权限太宽松，用户传个木马进来直接就能写进服务器，拿到后台权限。很多新手搭Discuz跟我当初一样，为了传图不报错，把附件目录设成777，结果被人传木马，整个论坛被人控制。真的，附件目录别设777，设成644，再加后缀白名单，别让用户传进来php木马。