简介面向网站运营者与管理员这份下载提供了一套可直接部署的梦幻防红cos系统后台版用于应对DDoS等恶意访问对站点造成的“红”风险。后台支持自定义防红接口管理人员无需深入理解底层防护原理通过域名后加admin.php即可进入管理界面进行配置。压缩包共82个文件以php核心脚本、css样式表和png界面素材为主并含js、jpg与txt安装说明包体仅624KB便于快速分发部署。已有110人学习/下载适合个人站长及中小型网站借鉴。压缩包内包含install.php安装脚本、数据库配置、后台管理入口及登录退出等模块解压后在PHP7.0环境下直接运行安装脚本即可完成部署若安装异常切换至匹配的PHP版本即可。整体操作路径清晰可作为轻量防红方案的学习与二次开发参考。1. 防红系统到底是做什么的先弄清它解决的三个问题做推广落地页、短链跳转的人应该都撞过这种场景链接发到聊天窗口别人点开看到的是风险提示页流量直接归零。圈里管这叫“被红了”防红系统就是专门处理这个问题的当访问来自聊天软件内置浏览器时服务器不直接吐原始页面而是根据规则返回一个提示页、或者跳到一个放行域名把访问留住。梦幻防红cos 3.5带后台版就是一套PHP写的现成实现后台地址是“域名admin.php”最大的卖点是可以在后台自定义防红接口不用改代码就能换检测规则整套文件无加密每一行都能看、都能改。这篇文章不吹不黑从检测原理、部署安装、后台配置到避坑排查把这条链路完整拆给你看适合跑落地页、做站群和接手老PHP项目的从业者按着步骤能直接复现。2. 防红检测是怎么跑通的UA、Referer 与后台自定义接口2.1 防红检测的本质服务端先看“客人从哪来”浏览器每次向服务器发请求都会带上两个关键头部User-AgentUA和Referer。UA 描述“我是什么浏览器”Referer 描述“我是从哪个页面跳过来的”。聊天软件内置浏览器和普通浏览器在这两个字段上差别非常明显——大多数社交软件的内置浏览器都会在 UA 里追加自己的软件标识有些还会限制 Referer 的传递。服务端检测逻辑就这么简单粗暴取$_SERVER[HTTP_USER_AGENT]和$_SERVER[HTTP_REFERER]用预置的关键词数组去匹配 UA 字符串命中就判定为“内置浏览器来访”走防红动作没命中正常输出页面内容。这个设计决定了它的边界UA 是客户端上报的理论上可以伪造平台的 UA 标识也不是一成不变隔几个月可能加个版本号后缀。所以纯靠本地硬编码关键词的防红系统时效性一定差漏防是必然的只不过程度问题。这也是为什么“能自定义防红接口”比“写死检测规则”更值钱——接口背后的域名状态是实时查询的不依赖你本地关键词库有没有更新。2.2 用 PHP 实现一个最小可用的检测骨架拿到梦幻防红cos 3.5之后你不需要一上来就读完所有源码先看懂下面这段骨架再回过去对照index.php顶部的逻辑基本就能在十分钟内摸清这套系统的路数?php // 检测入口一般放在 index.php 最顶部所有业务逻辑之前 $ua $_SERVER[HTTP_USER_AGENT] ?? ; $ref $_SERVER[HTTP_REFERER] ?? ; $ip $_SERVER[REMOTE_ADDR] ?? ; // 1. 白名单自己的调试 IP 直接放行避免把自己拦了 $white_ip_list [127.0.0.1, 你的服务器出口IP]; // 2. 内置浏览器 UA 关键词这里是示意按实际情况维护 $block_keywords [ MicroMessenger, // 常见聊天软件内置浏览器标识 MQQBrowser, // 手机QQ浏览器UA片段 ]; // 3. 开始判断 foreach ($white_ip_list as $wip) { if ($ip $wip) { // 白名单 IP走正常流程 break; } } $is_chat_env false; foreach ($block_keywords as $kw) { if (stripos($ua, $kw) ! false) { $is_chat_env true; break; } } if ($is_chat_env) { // 4. 命中防红条件302 跳到放行域名带上来源参数方便统计 header(Location: https://你的放行域名/?from . urlencode($ref), true, 302); exit; } // 没命中继续往下走正常业务逻辑参数说明$_SERVER[HTTP_USER_AGENT]客户端UA取不到时用?? 兜底避免 PHP 报未定义索引stripos($ua, $kw) ! false必须用!而不是!因为当关键词出现在第0位时stripos返回整数00 false成立会误判为未命中302 跳转要放在任何echo输出之前否则会报“headers already sent”。这段代码是通用骨架你拿到的包不一定长得一模一样但检测逻辑的位置和判断顺序大致就是如此。梦幻防红cos 3.5 比这更完善的地方在于它把“命中后做什么”从硬编码拆成了后台配置项下面继续拆。2.3 后台自定义防红接口把硬编码换成实时查询纯本地 UA 匹配合并掉的只是“看起来像内置浏览器”的访问但域名被标记风险的状态是动态的这次是绿的下次可能就红了。所以3.5后台提供的自定义接口本质上是一个“域名状态查询代理”管理员在后台填一个接口地址和密钥前台每次检测时把当前域名发给这个接口接口返回一个JSON结果系统再根据结果决定是放行还是走提示页。?php // 示意代码调用后台配置的防红接口 $api_url http://api.example.com/check.php; // 后台配置的接口地址 $api_key your-secret-token; // 后台配置的密钥 $target_host $_SERVER[HTTP_HOST]; $ch curl_init($api_url . ?host . urlencode($target_host)); curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); curl_setopt($ch, CURLOPT_TIMEOUT, 3); // 超时3秒防页面卡死 curl_setopt($ch, CURLOPT_HTTPHEADER, [ X-Api-Key: . $api_key, ]); $resp curl_exec($ch); $err curl_error($ch); curl_close($ch); if ($err) { // 接口挂了就降级到本地UA判断别让用户干等着 $status local_fallback; } else { $data json_decode($resp, true); $status $data[status] ?? unknown; } if ($status blocked) { header(Location: https://你的放行域名/blocked.html, true, 302); exit; }这段代码里有三个地方值得注意CURLOPT_TIMEOUT必须设推荐3秒。见过太多防红系统因为外部接口响应慢导致页面白屏两三秒才出来用户早关掉了接口返回的 JSON 结构不统一拿到源码后第一件事是去后台配置项里确认你的接口字段是status还是code不对就映射不上接口请求失败时要有降级策略常见做法是降级到第2.2小节的本地UA判断。没有降级逻辑的系统接口一挂防红直接报废等于裸奔。如果你准备自建这个接口最简单的实现是返回{status:blocked}或{status:ok}两个JSON值后台填好地址和密钥就能跑起来。3. 把梦幻防红 cos 3.5 部署起来install.php 与 PHP 7.0 环境准备3.1 为什么这个包对 PHP 版本这么敏感安装说明里写了“文件解压后php7.0版本”这不是随便写的老PHP项目对版本卡得死是常态。3.5这套代码在7.0环境下开发里面大概率用了一些在更高版本PHP下行为变化或直接废弃的函数和写法。常见的有这么几类mysql_*系列函数在 PHP 7.0 被移除如果在 5.6 环境跑代码里若用了就会被直接打断某些 PHP 7.2 更严格的类型检查会让老代码触发Warning甚至Fatal Error不同版本对list()、短数组语法、hex2bin等行为的兼容性差异。你不需要把每个函数都研究一遍记住一个经验这类老包装不上、白屏、报错第一优先级就是去切 PHP 7.0能解决起码一半问题。新版本系统可以追求最新版老系统追求的是匹配——作者写代码时用的什么版本你就用什么版本跑这是最小阻力路径。部署前先花两分钟确认环境写个临时文件丢进站点根目录?php // check.php —— 部署前检查用完就删 phpinfo(); // 也可以只输出关键信息 echo PHP_VERSION . \n; echo extension_loaded(curl) ? curl: ok\n : curl: missing\n; echo extension_loaded(pdo_mysql) ? pdo_mysql: ok\n : pdo_mysql: missing\n; echo extension_loaded(gd) ? gd: ok\n : gd: missing\n;参数说明PHP_VERSION是当前运行的PHP版本extension_loaded()返回布尔值用来确认扩展是否加载。防红系统至少要确认pdo_mysql连数据库和curl调防红接口两个扩展在位gd关系到后台验证码能不能显示缺了也要装上。3.2 安装步骤解压、目录权限、跑安装向导整体流程按顺序走每一步都别跳第一步把梦幻防红cos系统3.5带后台版.zip上传到网站根目录解压。如果你用的宝塔面板可以直接在文件管理里上传解压命令行环境就# 假设文件已上传到 /www/wwwroot/你的域名/ cd /www/wwwroot/你的域名/ unzip 梦幻防红cos系统3.5带后台版.zip第二步把目录属主改成Web运行用户。绝大多数面板环境Web服务跑在www用户下不改权限的话后面 install.php 写db_config.php会失败。chown -R www:www /www/wwwroot/你的域名/ chmod -R 755 /www/wwwroot/你的域名/参数说明chown -R递归修改属主和属组755表示所有者可读写执行、组和其他用户可读执行。还有一些老系统的缓存目录可能会要求777但PHP项目我不建议一上来就777等报错说“目录不可写”时再针对单个目录放开权限开太大容易被写马。第三步浏览器访问http://你的域名/install.php进入安装向导。界面一般会让你填数据库地址、数据库名、数据库账号、数据库密码以及后台管理员账号密码。这里有个高频翻车点如果你的数据库和网站不在同一台服务器上比如用了云数据库数据库地址不能填localhost要填云数据库的内网地址或公网地址并且确保账号有权限操作你填的这个库。第四步安装完成提示后立刻把install.php删掉或改名rm -f /www/wwwroot/你的域名/install.php这步是我的习惯也是血泪教训。install.php 不删等于把数据库初始化入口公开挂在首页上任何人都能重装你的系统把后台管理员改成他自己的。很多下源码的从业者不重视这个被黑了一次就长记性了。第五步访问http://你的域名/admin.php用安装时设置的后台账号登录进后台先看一眼防红接口和放行域名有没有配置。3.3 装不上时切版本怎么切摘要里说“如果安装不到切换php版本即可”下面说具体操作。三套环境分别讲宝塔面板最常见进入“网站 → 你的站点 → PHP版本”弹出的下拉菜单里直接选 PHP 7.0。如果列表里没有7.0先到“软件商店”把7.0装上再回到这里切换。面板会自动重启PHP-FPM刷新页面重试 install.php 就能过。命令行 Nginx 环境改 fastcgi 配置指向对应版本的 PHP-FPM socket。# 站点 conf 文件里找到类似的行 location ~ \.php$ { include fastcgi_params; fastcgi_pass unix:/run/php/php7.0-fpm.sock; # 从 7.2 切到 7.0 fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; }修改后重载 Nginxnginx -s reload参数说明fastcgi_pass指向的是 PHP-FPM 的监听 socket版本号必须和你安装的PHP版本对应写错了Nginx连不上PHP进程页面会直接502。不确定当前跑的是哪个版本可以先执行php -v看命令行版本再用systemctl status php7.0-fpm确认FPM进程在运行。系统装了多版本PHP时命令行切换默认版本也可以update-alternatives --config php回车后会列出系统里所有PHP版本输入编号选7.0即可。注意这个只影响命令行PHP不影响Nginx/FPM跑的版本Apache mod_php 环境下怎么切有点绕直接用面板管理更省事。4. 后台配置与源码结构admin.php 背后的十几个核心文件4.1 后台入口与登录后台入口就是http://你的域名/admin.php登录页面前端样式我看包里面用的是 OneUI 那套管理模板对应css目录下的oneui.css、plugins.css整体风格是侧边栏 内容区的经典后台布局。登录态靠 Session 维持退出走logout.php销毁会话并跳回登录页。拿到源码后建议做两件事第一改后台入口文件名把admin.php改成一段随机字符串比如f225a7b76e.php同时检查代码里有没有写死admin.php的跳转链接有就一起改。不改名的后果是扫描工具每天都会拿常见后台路径撞一遍你的后台天天被爆破改完名字爆破入口直接消失。第二登录密码不要用后台安装时默认生成的弱口令后台登录页没有防暴力破解的话弱口令就是给撞库脚本送人头。4.2 后台配置项逐项说明登录进后台核心配置就集中在“防红设置”这块。不同版本字段名略有差异但语义基本一致按下面这张表对照着填就行配置项示例填写说明防红接口地址http://api.example.com/check.php前台检测要调的接口返回该域名当前是否被标记接口密钥a1b2c3d4e5f6调用接口时附带防止别人白嫖你的检测接口检测开关开启关掉后所有访客一律走正常页面调试时用来对比效果放行域名https://go.example.com命中防红后跳转过去的中转域名必须和当前域名不同白名单IP你的办公网出口IP这些IP访问时跳过检测避免自己调试被拦提示页模板mh1.css命中防红时展示的样式包内带了好几套可切换普通访问跳转download.php正常浏览器访问时跳到的页面常见做法是引导下载文件这里面最容易出错的是“放行域名”和“当前域名”填成同一个。假设你的域名a.com被拦后台放行域名填的也是a.com命中防红后跳转一圈发现自己跳自己结果就是死循环。放行域名必须是一个独立、没被标记的域名域名越干净放行成功率越高。4.3 文件结构与职责这套打包文件解压后目录比较清晰核心文件按职责划分如下文件/目录职责install.php安装向导跑完删掉最稳妥db_config.php数据库连接配置安装时自动生成里面放的是数据库账号密码config.php系统全局配置后台修改的配置项基本都落到这里admin.php后台管理入口logout.php退出后台登录index.php前台入口防红检测逻辑的起点download.php下载/落地中转页assets/、js/、img/静态资源前台页面和后台UI共用css/样式目录main.css管前台mh.css、mh1.css、mh2.css是不同版本的防红提示页样式安装说明.txt作者的安装提示部署前先读一遍注意mh.css、mh1.css、mh2.css这三套并不是随便放着的装饰文件——后台切换提示页模板实际上切的就是这几套CSS。想定制提示页样式直接改对应CSS即可改完刷新就能看到效果不用动PHP逻辑。4.4 无加密源码的修改思路这个包带“无加密”标签意味着所有PHP文件都是明文没有经过 ionCube、Zend Guard 之类的加密混淆直接用编辑器就能改。这是双刃剑一方面检测逻辑、跳转规则、提示文案全都可以自己改另一方面从网上下载的PHP后台源码无加密不意味着无后门很多所谓“开源版”会在某个犄角旮旯里藏一段下载者马代码。我拿到任何一套PHP源码的第一件事不是看业务逻辑而是先扫一遍高危函数grep -rn eval(\|base64_decode(\|system(\|exec(\|shell_exec( /www/wwwroot/你的域名/ --include*.php参数说明-r递归子目录-n显示行号后面跟的是高危险PHP函数列表。eval可以执行任意PHP代码base64_decode常用来解码隐藏载荷system、exec、shell_exec都是执行系统命令的入口。如果扫描结果里出现了这几个函数尤其是出现在看似无关的文件里就要警觉了先读上下文确认是不是业务需要比如防红接口调用某些第三方服务时确实会用确认不了就删掉那行或整个文件。扫完之后再改逻辑就是纯体力活了。比如想加一个关键词到UA匹配列表去index.php里找到相关数组加上就行。这也是无加密包最实用的地方规则可以跟着平台的风向随时调。5. 部署后必看的避坑清单安装失败、防红失效与死循环排查5.1 install.php 白屏或 500现象浏览器访问install.php页面一片空白或者直接 500 Internal Server Error。原因最常见的两个一是PHP版本不对老代码在 7.2 上触发兼容性问题直接 Fatal Error二是PHP配置文件里display_errors是关闭的错误信息全被吞了你只能看到白屏。解决先开错误提示定位问题。在站点根目录临时放一个debug.php?php error_reporting(E_ALL); ini_set(display_errors, 1);再到install.php第一行插入require debug.php;改完记得删。开启后刷新页面真正的报错信息会直接打在浏览器上根据报错内容去搜解决办法。如果是版本兼容问题就按第3章的步骤切到PHP 7.0。如果开启后还是不报错去查Web服务器错误日志tail -f /var/log/nginx/error.log参数说明tail -f实时跟踪日志尾部display_errors在生产环境默认关闭是合理的但排查期开着它能省大量时间排完必须关掉。5.2 数据库连接失败现象安装向导能打开填完数据库信息点提交提示“数据库连接失败”或“无法选择数据库”。原因第一数据库账号密码填错第二MySQL 服务没启动第三数据库地址填错——数据库和Web不在同一台机器时还填localhost必失败第四db_config.php所在目录不可写导致安装程序写不进去连接配置。解决先用命令行直接验账密排除账号本身的问题mysql -h 127.0.0.1 -u 你的用户名 -p你的密码 -e SELECT 1;参数说明-h指定数据库主机-u用户名-p直接跟密码注意-p和密码之间不能有空格-e执行一条SQL后退出。这条命令能通说明账号和库的连接没问题问题就出在安装程序那边——重点检查目录权限确认安装向导的执行用户对网站目录有写权限。忘了的话回到第3.2节重新chown -R www:www一次。5.3 后台登录不上验证码不显示或登录后跳回登录页现象后台地址能打开但验证码图片是裂的输入账密提交后页面刷新一下又回到了登录页进不去。原因验证码不显示多半是PHP缺少gd扩展验证码生成的图片函数imagecreate()直接不存在报错被吞了而已。登录后跳回登录页则是 Session 没写入成功——Session 目录不可写或者PHP配置里session.save_path是一个不存在的路径。解决先装扩展以Ubuntu PHP 7.0为例apt-get install php7.0-gd php7.0-curl systemctl restart php7.0-fpmcurl扩展顺手一起装了后面调防红接口用得上。装完刷新后台验证码正常显示。Session 的问题检查并修改 PHP.inisession.save_path /var/lib/php/sessions目录不存在就创建并授权mkdir -p /var/lib/php/sessions chown -R www:www /var/lib/php/sessions改完PHP配置记得重启FPM否则不生效。5.4 防红不生效手机端打开还是红现象后台配置全填了接口也通了拿手机在聊天软件里点开链接出来的还是平台的风险提示页防红跟没装一样。原因按我的排查经验按概率排前三的是——第一UA关键词没覆盖最新的浏览器标识平台内置浏览器的UA加了新后缀你本地匹配列表里还是老关键词第二服务器开了一层缓存层比如整站缓存、Redis缓存或云WAF的缓存用户访问时请求压根没到PHP这一层检测逻辑没机会执行第三你的放行域名本身也被标记了跳过去照样红。解决先在电脑上用普通浏览器访问站点文件确认页面确实走的PHP动态渲染而不是缓存静态页。如果确认是缓存问题把防红检测涉及的URL一般是根路径加入缓存排除列表或者临时关掉整站缓存再测。UA关键词的问题需要你去抓一次内置浏览器实际发送的UA头——这步没法绕开拿到真实UA才能对症下药。最简单的方式是看服务器访问日志用聊天软件点开一次链接日志里记录的就是真实UAgrep -i MicroMessenger /var/log/nginx/access.log | tail -5拿到完整UA片段后去后台或index.php的匹配数组里补充关键词补充完再按第6章的方法验证命中情况。5.5 跳转死循环防红跳转把自己给绕进去了现象开启防红后用内置浏览器访问出现“不断跳转”或“太多重定向”的错误提示页面根本打不开。原因两个典型问题一是放行域名填成了当前域名或者放行域名指向同一台服务器上同样跑着防红检测逻辑的站点跳过去又被检测、又跳无限套娃二是没有排除掉搜索引擎爬虫和监控探针的访问这些爬虫的UA特征有时会被误判成内置浏览器再一跳转蜘蛛就直接报异常。解决改正回放行域名配置确保它和当前站点是不同的域名、不同站点最好是不带防红检测逻辑的纯净HTTP服务器。同时在检测逻辑开头加上爬虫豁免?php // 爬虫和监控工具直接放行别让搜索引擎把跳转当软404 $bot_keywords [Googlebot, Baiduspider, bingbot, spider, bot]; foreach ($bot_keywords as $b) { if (stripos($ua, $b) ! false) { return; // 或者跳回正常处理流程 } }参数说明stripos仍然是不区分大小写的匹配Googlebot这样的关键词能覆盖大小写变体。这条规则要放在UA关键词判断之前否则爬虫先被误判为内置浏览器就晚了。白名单IP也可以顺手把监控探针的出口IP加进去双保险。6. 验证防红规则是否生效用 curl 模拟内置浏览器访问6.1 用 curl 模拟两类访客部署完最核心的问题就是“到底生效没有”真机测试当然准但每次都要找不同软件、不同机型去点效率太低。我一般会先用 curl 直接模拟两类访客一类带内置浏览器UA一类带普通PC浏览器UA对比两者的响应就够了。# 模拟聊天软件内置浏览器 UA_WXMozilla/5.0 (iPhone; CPU iPhone OS 16_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 MicroMessenger/8.0.40 # 模拟普通PC浏览器 UA_PCMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36 # 分别请求只看状态码和跳转目标 curl -sS -o /dev/null -w chat env: %{http_code} - %{redirect_url}\n -A $UA_WX http://你的域名/index.php curl -sS -o /dev/null -w pc env: %{http_code} - %{redirect_url}\n -A $UA_PC http://你的域名/index.php参数说明-A指定UA-o /dev/null丢弃响应体-w控制输出格式%{http_code}是HTTP状态码%{redirect_url}是跳转目标地址。如果防红生效第一行应该看到302且redirect_url不是你当前域名第二行普通PC访问应该是200或按你的业务配置返回正常的下载页跳转。两条命令的响应对比完全一致说明防红规则没起作用回到第5.4节排查。6.2 把这套验证固化成一个脚本我每次部署完这套系统会把上面的验证方式写成一个脚本存下来后面换域名、改接口、调模板都会执行一遍防止改配置把防红逻辑改挂了而不自知#!/bin/bash # check_red.sh - 验证防红规则是否生效 # 用法: bash check_red.sh http://你的域名/index.php TARGET${1:-http://your-domain.com/index.php} UA_CHATMozilla/5.0 (iPhone; CPU iPhone OS 16_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 MicroMessenger/8.0.40 UA_PCMozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36 echo 内置浏览器 curl -sS --max-time 5 -o /dev/null -w http: %{http_code}\nredirect: %{redirect_url}\n -A $UA_CHAT $TARGET echo 普通浏览器 curl -sS --max-time 5 -o /dev/null -w http: %{http_code}\nredirect: %{redirect_url}\n -A $UA_PC $TARGET--max-time 5强制5秒超时防止接口卡住导致脚本挂死。现在我的习惯是任何配置改动后都强制走一遍这个脚本前后输出不一致就说明刚才改的东西动到了检测链路。从那次因为改模板没验证、结果放行域名失效、线上红了大半天的事件之后我每次部署完这类PHP后台系统都会先跑这个双UA验证顺手把install.php删掉再检查一遍高危函数扫描结果才敢交给运营——这套三步走成了我接手任何老PHP包的固定流程希望帮到你。本文还有配套的精品资源点击获取