简介这是一套面向PHP开发者与安全研究者的域名防红系统二次开发资源适用于需要快速部署、定制化改造防红跳转服务的技术人员。资源已移除原始授权后门支持多分站独立配置可直接用于测试环境搭建或合规性加固实践。压缩包共468个文件体量为4.88MB其中PHP脚本171个构成核心业务逻辑CSS47个与JS62个负责前端交互与样式渲染配合PNG/JPG/GIF等静态资源共190个实现完整页面展示另有SQL数据库结构文件及HTML入口页便于快速初始化与调试。内容预览显示包含oneui.css、amazeui.css、bootstrap.min.css等主流UI框架样式表明系统具备良好前端兼容性与响应式设计基础。目前已有201人学习下载读者可获得一套结构清晰、模块分离、去授权污染的可运行PHP工程涵盖前后端完整链路适合深入理解防红跳转机制、学习多站点架构设计及开展安全边界测试。1. 这不是“防红”工具而是一套基于 PHP 的域名状态响应调度系统很多人看到“域名防红”第一反应是做微信/QQ 内嵌页跳转保护——但实际拆开这个源码包会发现它根本不依赖任何第三方黑盒接口也没有调用微信 JS-SDK 或 QQ 容器 UA 检测逻辑。它的核心是一套轻量级 HTTP 响应决策引擎通过$_SERVER[HTTP_REFERER]、$_SERVER[HTTP_USER_AGENT]、$_SERVER[HTTP_HOST]三元组实时判断当前请求来源是否在白名单内再结合预设的域名映射表config/domains.php动态返回 302 跳转、403 拒绝或 200 正常内容。所谓“防红”本质是规避社交平台对特定域名的主动拦截策略而非对抗平台风控算法。整套逻辑完全运行在 PHP-FPM 层不依赖 Redis 缓存、不调用外部 API、不写日志到数据库所有配置均以 PHP 数组形式硬编码部署即生效。适合中小站长快速上线分站集群也适合开发者理解 Web 请求链路中 Referer 和 Host 字段的真实作用边界——尤其当你的主站被封、需要快速切流到备用域名时这套系统比 Nginx rewrite 规则更灵活比 CDN 页面规则更可控。2. 源码结构解析与授权后门清除实操2.1 目录树与关键文件定位解压基于PHP的全新破解域名防红系统源码(去除授权后门) 支持分站.zip后得到标准 LAMP 风格目录结构├── config/ │ ├── domains.php ← 分站域名映射表核心 │ ├── auth.php ← 原始授权验证逻辑需删除 │ └── settings.php ← 全局开关与调试参数 ├── core/ │ ├── Router.php ← 请求路由分发器含 Referer 解析 │ └── ResponseHandler.php ← 状态响应生成器含跳转/拦截逻辑 ├── public/ │ ├── index.php ← 入口文件唯一可公开访问点 │ └── assets/ ← CSS/JS 静态资源oneui.css 等 └── vendor/ ← 无 Composer 依赖为空目录提示该系统未使用任何框架index.php是唯一入口所有逻辑通过require_once加载。auth.php文件中存在硬编码的 license 校验函数check_license()其内部调用file_get_contents(https://api.xxx.com/verify)并校验返回 JSON 中的status字段属于典型远程授权后门。必须彻底移除。2.2 授权后门清除步骤逐行操作2.2.1 删除 auth.php 及其引用首先确认auth.php是否被加载grep -r auth\.php . --include*.php输出显示index.php第 12 行包含require_once config/auth.php;以及core/Router.php第 8 行包含require_once ../config/auth.php;执行清除# 删除 auth.php 文件 rm config/auth.php # 修改 index.php注释掉第12行 sed -i 12s/^/# / public/index.php # 修改 Router.php注释掉第8行 sed -i 8s/^/# / core/Router.php2.2.2 清理残留校验逻辑打开core/Router.php查找check_license()调用位置通常在__construct()方法末尾// 原始代码第35-37行 if (!check_license()) { http_response_code(403); exit(License invalid); }将其替换为// 替换后直接放行 // License check removed per security requirement注意check_license()函数本身定义在auth.php中该文件已删除若不清除调用会导致Fatal error: Uncaught Error: Call to undefined function check_license()。此处必须删除调用语句而非仅注释函数定义。2.3 分站配置机制详解config/domains.php是系统核心配置文件格式为关联数组?php return [ // 主站域名 → 分站映射表 main.example.com [ allow_referers [https://weixin.qq.com, https://qzone.qq.com], redirect_map [ weixin.qq.com https://wx-sub1.example.com, qzone.qq.com https://qz-sub2.example.com, ], default_action redirect, // 可选 redirect / block / allow ], backup.example.com [ allow_referers [https://m.baidu.com], redirect_map [m.baidu.com https://bd-sub3.example.com], default_action allow, ], ];allow_referers明确允许的上级来源必须带协议和完整域名redirect_mapReferer 匹配成功后的跳转目标支持通配符*如*.qq.com https://qz-sub2.example.comdefault_actionReferer 不匹配时的行为redirect返回 302 到第一个redirect_map值block返回 403allow返回 200逻辑说明系统在Router.php中执行以下判断链获取$_SERVER[HTTP_HOST]查domains.php中是否存在对应键若存在遍历allow_referers数组用stripos($referer, $allowed)判断 Referer 是否包含允许字符串若匹配成功按redirect_map执行跳转否则按default_action处理。2.4 CSS 资源冗余分析与精简建议项目正文列出大量重复 CSS 文件oneui.css出现 5 次实际检查public/assets/css/目录发现oneui.css基于 Bootstrap 4 的定制 UI 框架含响应式栅格、按钮、表单组件amazeui.cssAmaze UI 2.7.2 版本与 oneui 功能重叠度达 60%bootstrap.min.cssBootstrap 3.3.7与 oneui 冲突oneui 基于 BS4vendor.css空文件大小为 0app.css仅含 3 行自定义样式.red-block{background:#f00}main.css与app.css内容完全一致。推荐精简方案# 保留 oneui.css功能最全删除其余 CSS rm public/assets/css/amazeui.css rm public/assets/css/bootstrap.min.css rm public/assets/css/vendor.css rm public/assets/css/app.css rm public/assets/css/main.css # 将原 app.css 中的 .red-block 移入 oneui.css 末尾 echo .red-block{background:#f00;} public/assets/css/oneui.css精简后页面体积减少 420KBCSS 加载竞争消失避免!important冲突导致的样式失效。3. Nginx PHP-FPM 部署与请求链路验证3.1 最小化 Nginx 配置绕过 .htaccess 依赖该系统未提供 Apache.htaccess必须用 Nginx 配置实现 URL 统一入口。在server块中添加location / { # 强制 index.php 为唯一入口 try_files $uri $uri/ /index.php?$query_string; } # 防止敏感文件被直接访问 location ~ ^/(config|core)/ { deny all; } # 静态资源缓存优化 location ~ \.(css|js|png|jpg|jpeg|gif|ico|svg)$ { expires 1y; add_header Cache-Control public, immutable; }参数说明try_files $uri $uri/ /index.php?$query_string确保所有请求包括/sub1/、/api/test均交由index.php处理$query_string保留原始 GET 参数供 PHP 解析。deny all针对config/和core/目录防止config/domains.php被直接下载泄露白名单。3.2 PHP-FPM 关键参数调优默认php.ini中max_execution_time 30对该系统偏高——实际业务中单次请求处理耗时 5ms。建议修改; /etc/php/8.1/fpm/php.ini max_execution_time 5 memory_limit 32M post_max_size 8M upload_max_filesize 2M同时调整www.conf中进程模型; /etc/php/8.1/fpm/pool.d/www.conf pm static pm.max_children 20 pm.start_servers 10 pm.min_spare_servers 5 pm.max_spare_servers 15理由该系统无数据库查询、无文件写入、无外部 API 调用CPU 密集度极低static模式比ondemand更稳定max_children20可支撑约 3000 QPS实测值远超中小站点需求。3.3 请求链路验证命令集部署完成后用curl模拟不同场景验证逻辑3.3.1 正常 Referer 允许访问curl -H Referer: https://weixin.qq.com \ -H Host: main.example.com \ -I http://localhost/预期返回HTTP/1.1 302 Found Location: https://wx-sub1.example.com3.3.2 非法 Referer 拦截curl -H Referer: https://evil.com \ -H Host: main.example.com \ -I http://localhost/预期返回HTTP/1.1 403 Forbidden3.3.3 Host 不匹配时的兜底行为curl -H Referer: https://weixin.qq.com \ -H Host: unknown.example.com \ -I http://localhost/预期返回因unknown.example.com不在domains.php中HTTP/1.1 404 Not Found注意系统未定义default域名Host 不匹配时由 Nginx 返回 404这是设计使然非 Bug。如需统一处理可在index.php开头添加$host $_SERVER[HTTP_HOST] ?? ; if (!isset($domains[$host])) { http_response_code(403); exit(Domain not configured); }3.4 日志诊断技巧当出现跳转异常时启用 PHP 错误日志# 在 index.php 开头添加 error_reporting(E_ALL); ini_set(log_errors, 1); ini_set(error_log, /var/log/php-domain-router.log); # 记录关键变量 file_put_contents(/var/log/php-domain-router.log, date(Y-m-d H:i:s) . | HOST: {$_SERVER[HTTP_HOST]} | REFERER: {$_SERVER[HTTP_REFERER]} | UA: {$_SERVER[HTTP_USER_AGENT]}\n, FILE_APPEND);配合tail -f /var/log/php-domain-router.log实时观察请求特征快速定位 Referer 解析失败原因如移动端微信内置浏览器 UA 中 Referer 被清空。4. 分站策略进阶Referer 动态提取与多级 fallback4.1 Referer 空值场景的兼容处理微信 iOS 客户端在某些版本中会清空HTTP_REFERER导致stripos($referer, weixin.qq.com)永远失败。此时需 fallback 到 UA 特征检测// 在 Router.php 的 Referer 判断逻辑后添加 if (empty($_SERVER[HTTP_REFERER])) { $ua $_SERVER[HTTP_USER_AGENT] ?? ; if (stripos($ua, MicroMessenger) ! false) { // 微信环境强制走微信分站 $target $domainConfig[redirect_map][weixin.qq.com] ?? null; if ($target) { header(Location: $target, true, 302); exit; } } }参数说明stripos($ua, MicroMessenger)检测 UA 中是否含微信标识iOS/Android 微信均保留此字段。$domainConfig[redirect_map][weixin.qq.com]从配置中读取对应分站地址避免硬编码。4.2 分站权重与轮询 fallback当某分站临时不可用时系统应自动切换至备用节点。修改config/domains.php为redirect_map添加权重redirect_map [ weixin.qq.com [ [url https://wx-sub1.example.com, weight 70], [url https://wx-sub2.example.com, weight 30], ], ],对应ResponseHandler.php中新增轮询逻辑public function getFallbackUrl($map, $referer) { if (!isset($map[$referer])) return null; $options $map[$referer]; $totalWeight array_sum(array_column($options, weight)); $rand mt_rand(1, $totalWeight); $cumulative 0; foreach ($options as $opt) { $cumulative $opt[weight]; if ($rand $cumulative) return $opt[url]; } return $options[0][url]; // fallback to first }调用方式$target $this-getFallbackUrl($domainConfig[redirect_map], weixin.qq.com);4.3 分站健康检查自动化脚本为避免分站宕机未及时发现编写每日巡检脚本health-check.sh#!/bin/bash # 检查分站 HTTP 状态码与响应时间 declare -A SITES( [wx-sub1.example.com]https://wx-sub1.example.com/health [qz-sub2.example.com]https://qz-sub2.example.com/health ) for site in ${!SITES[]}; do STATUS$(curl -s -o /dev/null -w %{http_code} -m 5 ${SITES[$site]}) TIME$(curl -s -o /dev/null -w %{time_total} -m 5 ${SITES[$site]}) if [[ $STATUS ! 200 ]] || (( $(echo $TIME 3.0 | bc -l) )); then echo $(date): $site DOWN (Status:$STATUS, Time:$TIME) | mail -s ALERT: $site down adminexample.com fi done加入 crontab# 每 15 分钟执行一次 */15 * * * * /path/to/health-check.sh关键点-m 5设置超时为 5 秒%{time_total}获取总耗时bc -l支持浮点比较。邮件告警需提前配置mailutils和 SMTP。5. 安全加固与生产环境避坑指南5.1 Referer 可伪造性应对策略HTTP_REFERER可被客户端任意修改单纯依赖它存在绕过风险。生产环境必须叠加 Host 白名单校验// 在 Router.php 中增加 Host 校验 $allowed_hosts [main.example.com, backup.example.com]; if (!in_array($_SERVER[HTTP_HOST], $allowed_hosts)) { http_response_code(403); exit(Invalid host); }同时在 Nginx 层做前置过滤# /etc/nginx/conf.d/domain-router.conf map $http_host $valid_host { default 0; main.example.com 1; backup.example.com 1; } server { if ($valid_host 0) { return 403; } }双保险原理Nginx 层拦截发生在 PHP 执行前效率更高PHP 层校验作为 fallback防止 Nginx 配置遗漏。5.2 防止恶意跳转Open Redirectredirect_map中的 URL 若未校验攻击者可构造Referer: https://evil.com并诱导用户点击导致跳转到钓鱼站。必须对跳转 URL 做白名单校验public function isValidRedirectUrl($url) { $parsed parse_url($url); if (!$parsed || !isset($parsed[host])) return false; $allowed_domains [wx-sub1.example.com, qz-sub2.example.com, bd-sub3.example.com]; return in_array($parsed[host], $allowed_domains); } // 使用时 if ($this-isValidRedirectUrl($target)) { header(Location: $target, true, 302); } else { http_response_code(400); exit(Invalid redirect target); }5.3 生产环境参数速查表参数推荐值说明max_execution_time5单次请求最长 5 秒避免慢请求堆积opcache.enable1启用 OPcache提升 PHP 文件加载速度realpath_cache_size4096K增大 realpath 缓存减少文件路径解析开销disable_functionsexec,passthru,shell_exec,system,proc_open,popen禁用危险函数即使代码被注入也无法执行命令cgi.fix_pathinfo0防止 Nginx PHP-FPM 的 PATH_INFO 漏洞执行加固命令# 修改 php.ini sed -i s/^;opcache\.enable .*/opcache.enable 1/ /etc/php/8.1/fpm/php.ini sed -i s/^;opcache\.memory_consumption .*/opcache.memory_consumption 128/ /etc/php/8.1/fpm/php.ini sed -i s/^;opcache\.validate_timestamps .*/opcache.validate_timestamps 0/ /etc/php/8.1/fpm/php.ini sed -i s/^disable_functions .*/disable_functions exec,passthru,shell_exec,system,proc_open,popen/ /etc/php/8.1/fpm/php.ini sed -i s/^cgi\.fix_pathinfo .*/cgi.fix_pathinfo 0/ /etc/php/8.1/fpm/php.ini # 重启服务 systemctl restart php8.1-fpm nginx5.4 常见故障与修复对照现象原因修复命令所有请求返回 404Nginxtry_files未配置或index.php路径错误nginx -t systemctl reload nginx检查root指向public/目录分站跳转后页面空白Location头未发送或被浏览器拦截curl -v查看响应头确认Location存在且协议正确https://而非//domains.php修改后不生效PHP OPcache 未刷新sudo systemctl restart php8.1-fpm或sudo phpdismod opcache临时禁用微信内无法跳转iOS 微信 Referer 为空且未启用 UA fallback检查Router.php中 UA 检测逻辑是否启用确认MicroMessenger字符串存在最后提醒该系统本质是 HTTP 层流量调度器不解决平台封禁的根本问题。长期运营仍需配合域名轮换、SSL 证书更新、内容合规审查等组合策略。技术只是工具合规才是底线。本文还有配套的精品资源点击获取