做站十年踩过的坑：普通人也能上手的网站安全防护指南
去年年初帮一个做美食号的老朋友救站，五年心血，收录十万，每个月稳定赚几万广告费，一夜之间全没了。黑客把全站内容改成了赌博引流页，百度一天之内把所有收录k完，他没做备份，找遍了服务商都恢复不了，站直接废了。很多做站的朋友，满脑子都是涨流量、涨收录，安全这块全是空白，总觉得我一个小站，没人看得上。现在黑客都是批量扫网，哪管你站大站小，有漏洞就钻，当肉鸡挖矿、挂黑链，不费任何事。
最容易被忽略的入门级漏洞：你连后台地址都没改？
90%的中小网站被黑，根源都是弱口令+默认配置。别不信，我见过太多新手站长，用Wordpress就是默认配置，后台地址还是wp-admin，用户名直接填admin，密码跟网站名一样，连数字都不加。
现在网上随便就能下到批量扫描器，二十分钟就能扫完一个C段的所有网站，弱口令一抓一个准。真碰上了，人家十秒钟就能登你后台改东西，你找谁说理去。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/3502efb5-ee05-4e47-a1c7-40f54e9d55cc.jpg
网站后台弱口令扫描攻击日志截图
改起来真不难，花十分钟就能搞定。Wordpress用插件就能改后台路径，别嫌麻烦。用户名绝对不要用admin、test这种，改成不规则的组合。密码必须12位以上，大小写加特殊字符，不同网站不要用同一个密码。
还有，一定要开两步验证。哪怕你的密码不小心泄露了，别人没有你手机的验证码，也登不上后台。我自己所有站都开了这个功能，这么多年从来没出过登录的问题。
服务器层面：十分钟就能做好的基础防护
我刚做站那会踩过一个大坑，买完服务器直接搭网站，啥防护都没做，不到半个月，服务器CPU直接跑满100%，网站卡得根本打不开。登后台一看，被种了挖矿病毒，整个服务器全是垃圾进程，我花了三天才彻底清干净，那阵子掉了快一半流量，懊恼得我三天没睡好。
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/fd28bc46-737a-4631-af30-e59e19c1e875.jpg
Linux服务器挖矿程序占用CPU排行截图
说实话，服务器防护根本没那么复杂，都是入门操作，大部分人就是懒不愿意做。
第一步，调安全组。只开需要的端口：80（http）、443（https），还有你要用的SSH端口，其他端口全关。SSH默认端口是22，一定要改掉，改成别的五位数端口，能挡住绝大多数批量扫描。
第二步，数据库别开公网访问。大部分人的数据库就是本地用，直接绑127.0.0.1，别绑0.0.0.0，不然密码稍微弱一点，直接被人拖走所有数据。
第三步，装个免费的防护工具。比如fail2ban，输错几次密码直接封IP，扫都没法扫。云服务器自带的免费防火墙一定要开，别浪费。
业务层防护：不用花大价钱，小站也能扛住攻击
https://obgeo.oss-cn-beijing.aliyuncs.com/pvc-articles/f7210d50-30ee-43ef-89c4-c93fbb773b5f.jpg
业务层防护：不用花大价钱，小站也能扛住攻击
很多人觉得防护都是大网站才需要，小站花不起那个钱。不对，大部分操作都是免费的，做好了就能防住99%的常见攻击。
首先，不管你用开源程序还是自己写，一定要防注入。自己开发的话，所有参数必须过滤，别给黑客留可乘之机。用开源程序比如Wordpress、织梦，一定要更最新版本，老版本的漏洞早就公开了，一抓一个准。
千万别碰破解版的主题和插件。我之前贪便宜，下过一个破解版的SEO插件，不到三个月，网站被挂了上百条隐形黑链，收录掉了三分之二，我查了半个月才找到问题根源。破解版十有八九都留了后门，给你偷偷挂黑链、挖权限，你根本发现不了。省那几十块钱，亏掉一个做了好几年的站，太不值。
然后，一定要套CDN。不光是加速，还能隐藏你的源服务器IP，免费版的CDN就能防住大部分小流量DDos和CC攻击，不管是Cloudflare还是国内云厂商的免费加速，都能用，零成本。
HTTPS一定要开，不光对SEO收录友好，还能防止传输过程中数据被篡改，现在免费证书一堆，十分钟就能配置好，没任何成本。
最后，也是最重要的：一定要定期做异地备份。防护做得再好，也难保不出问题，有备份就啥都不怕。我现在所有站都是每日自动备份，每周把备份下载到本地硬盘，真被黑了，删了重传，半小时就能恢复。那个美食站朋友就是没备份，才落得站毁的下场，这个教训我记到现在。
做站就是这样，你把安全放在前面，后面才能安安心心做内容涨流量。别等出事了才想起补防护，那时候真的晚了。 逻辑严谨，条理分明，一看就是经过认真思考和整理的内容。 支持理性讨论，反对无脑争吵，楼主带了个很好的头。 说得很有道理，很多观点都说到点子上了，希望以后能多看到这类帖子。 帖子内容很扎实，不浮夸不炒作，真正有用的信息都在里面。 非常有建设性的意见，对解决实际问题有很大的参考意义。
感谢楼主无私分享经验，少走了很多弯路，对我们帮助特别大。 这样用心的帖子不多见，必须顶上去让更多人看到优质内容。 非常同意楼主的看法，现实中确实是这样，很多人都忽略了这一点。 认真看完了整篇内容，感觉受益匪浅，期待楼主后续更多优质的分享。 看了这么多帖子，还是觉得你这篇最实在，条理清晰又容易理解。 虽然篇幅不长，但句句都是重点，简洁又有深度，非常不错。 不仅内容好，语气也很温和，这样的交流氛围真的很不错。 之前一直半知半解，看了你的解释一下子就明白了，讲得通俗易懂。 希望楼主常来发帖，持续输出优质内容，我们都会一直支持你。 楼主分析得很到位，很多地方都很实用，已经默默收藏起来慢慢看。 看完感觉打开了新思路，以后遇到类似情况知道该怎么处理了。 楼主态度很认真，回复也很耐心，这样的楼主值得大家支持。 对新手特别友好，解释得很细致，就算零基础也能看懂大半。 看完楼主的分享感觉很有收获，感谢这么用心的整理，学到很多新知识。
页:
[1]
2