海洋CMS后台操作日志怎么看？安全审计？

结论：海洋CMS后台没有一套能长期留存、可追溯"谁在什么时间改了什么"的完整操作审计日志，真正做安全审计要凑齐三条线——Web 服务器访问日志、数据库中的管理员/内容变更痕迹、站点文件的修改时间线，三者交叉比对才能定位到人和动作。

海洋CMS后台的操作日志在哪里看？

结论：先看你所用版本的左侧菜单里有没有"系统 → 日志管理/操作日志"这一类入口，有就直接看，没有就必须走服务器侧审计，别指望后台页面。

打开 /admin/（默认后台目录，装站时多数人没改）登录后，逐项翻"系统"和"管理员"两个菜单组。不同版本菜单命名不一致，有的叫"操作日志"，有的只记录登录日志，还有的版本干脆没有这个模块。看不到不代表没出问题，只代表这台站没有开箱可用的审计能力。

所以实际工作中，我一般直接把审计放到服务器层做，后台页面只当辅助。

Web 日志怎么查出后台的每次操作？

结论：后台的增删改几乎全是 POST 请求，用一条 grep 就能把"谁、什么时候、点了哪个动作"列出来。

以宝塔常见的 Nginx 日志路径 /www/wwwlogs/你的域名.log 为例：

grep -E "POST /admin" /www/wwwlogs/www.example.com.log \
  | awk '{print $1, $4, $7, $9}' \
  | sort | uniq -c | sort -rn | head -50

$1 是来访 IP，$4 是时间戳，$7 是请求路径（比如 /admin/admin_video.php），$9 是状态码。跑完你能立刻看到：哪些 IP 在频繁 POST 后台、命中了哪些管理脚本。正常运营下这个列表应该只有你自己和同事的几个固定 IP，出现陌生 IP 就是红灯。

想定位爆破，看登录入口的 POST 频次即可，同一 IP 短时间内几十上百次 POST /admin/login.php 就是典型撞库。

数据库里能查到什么？怎么查？

结论：海洋CMS 的安装表前缀在装站时填写，常见为 sea_，但日志类表名各版本不同，用 SHOW TABLES 先摸清结构再查。

SHOW TABLES LIKE '%admin%';
SHOW TABLES LIKE '%log%';

查出来的管理员表里通常有最后登录时间、登录 IP 字段，ORDER BY 最后登录时间 DESC 就能看出有没有陌生账号被创建、有没有异常时间点登录。内容表（文章、视频）如果带更新时间字段，按更新时间倒序也能发现被批量篡改的痕迹。

注意一点：如果攻击者已经拿到后台，他完全可能直接删掉这些记录，所以数据库只能作旁证，不能当唯一证据。

文件被改了怎么发现？

结论：海洋CMS 被入侵后最典型的表现是模板、入口文件被插入后门，用 find 按修改时间筛一遍最直接。

find /www/wwwroot/你的站点 -type f -newermt "2025-01-01" \
  -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort

重点看这几类路径：模板目录、/admin/ 目录、根目录下的 .php 文件。上线后长期没动过的文件突然出现新修改时间，基本可以判定有问题。再配合 grep -rn "eval(" --include=*.php . 扫一遍可疑函数。

后台安全该做哪几件事？

结论：把后台从"公网随便访问"改成"只有你能访问"，能挡掉九成以上的自动化攻击。

1. 改掉默认后台目录名，/admin/ 改成无规律的字符串；
2. Nginx 里给后台加 IP 白名单：

location ^~ /你的后台目录/ {
    allow 113.x.x.x;
    deny all;
}

1. 管理员密码用 16 位以上随机串，后台账号一人一个，不要共用；
2. 装站完成后删掉 install 目录；
3. 每周固定跑一次上面那三条命令，把结果存成带日期的文本，形成自己的审计档案。

海洋CMS 的审计重点不在后台那个日志页面，而在服务器日志、数据库和文件时间三条线的交叉验证。平时把后台目录改名加白名单、把上面几条命令做成周检脚本，出事时才有据可查。