昨天在站长交流群，看到一个做本地商家网站的朋友吐槽，他做了大半年的网站好不容易有了点流量，结果突然被黑客挂了一堆黑链，百度收录全变成了非法页面，好不容易攒的排名一下子没了，损失惨重。其实聊下来发现，他的问题就是没处理好几个常见漏洞，今天梳理一下网站常见漏洞的应对方法，都是我这么多年踩坑摸出来的干货，不一定够学术，但对普通站长绝对够用。
别总等网站被黑了才想着补漏洞，那时候损失已经造成了，不管是流量还是用户数据，找回来都要花很大功夫。提前做好防护，比出事了救火强一百倍。很多站长说我一个小站，黑客不会盯上我，错了，现在黑客都是用爬虫批量扫漏洞，不管大站小站，只要有漏洞就会被扫到，小站只不过没在意而已。
所以第一步，你得养成定期扫漏洞的习惯，半个月或者一个月扫一次，用一些免费的工具就能做，比如开源的扫描工具，或者服务商自带的安全检测，以服务商或官方页面说明为准，不用花大价钱买服务，基础检测足够了。还有就是要及时更程序补丁，不管是你用的开源CMS还是自己写的代码，出了补丁就赶紧更，很多漏洞都是公开的，黑客都等着懒着不更补丁的站长呢。
这个应该是最常见的漏洞了，尤其是很多自己写代码的新手站长，或者用了很久没更补丁的开源程序，很容易出问题。SQL注入说白了就是黑客通过在输入框、URL参数里插入恶意SQL代码，让你的数据库执行不该执行的命令，轻则拖走所有用户数据，重则直接删库跑路，给你整得措手不及。
那怎么防呢？首先，永远不要直接拼接SQL语句，一定要用参数化查询或者ORM框架，这是从根源上堵住这个漏洞。然后，给网站用的数据库账号开最小权限，它只需要操作自己的库，就不要给它超级管理员权限，就算出问题也不会连累整个服务器。还有，过滤掉输入里的特殊字符，比如单引号、分号这些，别嫌麻烦，这一步能挡掉不少扫描器的试探。
这个漏洞也很常见，尤其是有用户提交内容的网站，比如论坛、博客、评论区，只要允许用户输入内容，就有可能出这个问题。XSS就是黑客往你的网站里注入恶意脚本，偷用户的Cookie，或者把访问用户跳转到钓鱼网站，危害一点不比注入小。
应对这个漏洞，核心就是永远不要信任任何用户的输入。所有用户提交的内容，一定要做转义处理，把特殊的HTML字符比如< > ” ‘这些转成实体字符，不要直接输出到页面上。如果允许用户发富文本，那一定要用白名单过滤，只允许你确定安全的标签，比如<p> <img>，把<script>这类危险标签直接禁掉。还有个小技巧，给你的Cookie加上HttpOnly属性，这样就算脚本注入成功，也拿不到用户的Cookie，大大降低危害。
很多网站都有上传功能，比如传头像、传产品图、传附件，很多站长不在意这里的安全，结果被黑客传了php或者asp木马，直接拿到网站甚至服务器的权限，到这一步基本上网站就废了。
那怎么防呢？首先，严格限制上传文件的类型，只允许你需要的格式，比如只传图片就只开jpg、png、gif，别的格式一律禁掉，不要给任何可执行脚本留机会。然后，不要把上传的文件存在可执行目录里，给上传目录去掉执行权限，就算黑客传了木马也运行不了，这一步很关键，很多人就是这里没做好才出问题。还有，上传之后一定要给文件重命名，不要保留用户上传的原文件名，避免有些黑客通过文件名绕过校验。
我见过太多网站出问题，就是因为后台用默认密码，或者admin123、123456这种弱到爆的密码，黑客用批量工具扫五分钟就能破进去，比你开门请他进来还方便。这种漏洞真的是最不该犯的，防护起来也没难度。
首先，一定要改掉默认用户名，别再用admin当管理员账号了，改个偏一点的名字，能挡住八成的暴力破解。然后用复杂度高一点的密码，大小写加数字加符号，长度至少8位以上，别嫌记着麻烦，用密码管理器存着就好。如果平台允许，一定要开两步验证，就算密码不小心泄露了，黑客也登不进去。还有，如果你只有固定几个IP需要登录后台，那就只允许这几个IP访问后台，别的IP一概打不开，这样安全性又上一个台阶。
说了这么多，其实大部分网站漏洞都是因为站长图省事，该做的防护没做，该更的补丁没更，才给了黑客可乘之机。做好上面说的这几点，就能挡住九成以上的常见攻击。当然了，别忘了定期备份网站数据，就算真的出了问题，也能很快恢复，不会损失太多。还有，多关注一下你用的程序的官方公告，有新漏洞出来及时修补，不要拖着，就这么点事儿，没那么复杂。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
