Z-Blog装完别急着发文章，这五个安全配置不做，后台被爆挂一堆暗链都是轻的

新手用Z-Blog做博客，装完就直接开始发文章，根本不做基础安全配置，结果被人爆了后台，挂了一堆赌博暗链。Z-Blog装完必须做这几个安全设置：第一，装完立刻删install目录，别留着，爬虫扫到地址就能重新跑安装，把你的博客数据全重置；第二，后台管理地址别用默认的admin.php，改成随机的长字符串，再加个IP白名单，不然爬虫24小时扫后台地址，字典暴力破解迟早进来；第三，附件目录zb_users/upload，在Nginx里关掉PHP执行权限，别让用户抓包传个php木马，直接在服务器跑；第四，评论功能开验证码，新用户评论要审核才显示，不然脚本一秒灌几百条垃圾广告；第五，数据库账号别用root，单独建个只给Z-Blog库权限的账号，就算被注入，攻击者也碰不到其他项目的数据。

我之前用Z-Blog，就没改后台地址，三个月后密码被爆破，网站首页被挂了几十条赌博链接，清了半天才清干净。很多新手觉得Z-Blog是轻量博客，没人会攻，其实黑产的爬虫是全网扫的，这些小漏洞你不堵，迟早被利用。这些设置都是十分钟就能做完的事，做完之后，网站安全等级直接上来，不会动不动就被挂马。