“一键服务端软件安装器” 的安全性

[Stictonotus]

最近没事买了个(PHP)虚拟主机，发现虚机控制面板里面有类似于 “一键 PHP 软件安装器” 这样的东西。比如，在界面里面选择 "Wordpress"，配置路径和管理员信息，就可以直接安装，数据库、文件什么都是配置好的。
而且这类服务的提供商还不少，我见过的有 softaculous.com / installatron.com 这两家。而且根据 installatron.com 官网，这家提供商还有 16 年历史。

但是在实际安装使用过程中，我发现 wordpress 中被预安装好了几个 plugin (如"访问速度限制")，甚至还有没删干净的名为 admin 的账户。所以开始怀疑这些服务的安全性。

这些软件的安装机制似乎是直接复制数据库和文件，安装步骤中有提到这一点。但是它们的安全性有没有保证？这些软件会不会 “夹带私货”，甚至是在软件里预留后门？

虽然个人觉得都是付费服务，看起来 “挺正规”，而且我也不用，但关于这些服务的安全性我还是很好奇。不知各位 v 友有何看法？
另外不是国内的虚拟主机，我也不觉得阿里云万网这类国内提供商会接入这种东西。

[AX5N]

要主张不安全应该提供不安全的证据，否则就是用别怕，怕别用。

[ly4572615]

我项目的后台人员经常用一键部署,被黑了三次了,php 的 eval 千万记得限制或者关掉

[mrlmh00]

有没有后门比对一下不就行了吗 wordpress 又不是闭源的