网站漏洞怎么修复？先看清这3类常见漏洞

网站漏洞怎么修复，答案不在你装了多少工具，而在有没有先把漏洞分清楚。一个站被扫出十几条中高危，真正能要命的通常就那么一两类，剩下多半是配置不当或者版本太老。上来就买 WAF、订扫描服务、翻一堆加固脚本，钱花出去了，洞还在原地——因为你压根分不清哪条是能让人直接拿到服务器权限的，哪条只是看着吓人。我处理过的排查里，翻来覆去就三种：代码里的注入、上传点没管住、服务器权限开太大。把这三种的特征认下来，修复的套路基本是固定的。

网站漏洞怎么修复，得按入口分类型

分类不看扫描器给的那个分数，看入口在哪、后果是什么。入口是用户能控制的输入，往注入、跨站、上传这几个方向想；入口是服务器本身的配置，就往端口、目录、组件版本上查。判断优先级只问一句话：这个洞被利用之后，对方能不能直接执行命令或者读写文件。能，今天就处理；不能，排队。扫描器的分级是通用模板，它不知道你这个站跑的是什么业务、后台有没有对外开放，照抄分数容易把力气用错地方。

第一类：注入，别只想着拦引号

SQL 注入不是「用户输入里带了个单引号」这么简单。常见的位置是搜索框、分类筛选、后台的登录和查询条件，以及各种手拼 SQL 的接口。修复的正路是参数化查询，PDO 的 prepare、mysqli 的 bind_param，或者干脆用框架的 ORM，别自己拼字符串。有人图省事写个函数转义一下单引号就觉得安全了，碰到整型注入、宽字节、二次注入照样白给。顺手还能做两件事：数据库账号按业务给最小权限，只读的地方别给写权限，更别拿 root 去连；生产环境把报错回显关掉，前端报错里带着表名字段名，等于给对方递地图。具体写法以你所用版本的官方文档为准。

第二类：文件上传和目录执行，翻车最多

上传点几乎每个站都有，头像、附件、要导入的表格、后台的模板包。问题不在上传本身，在于上传完之后那个目录还能被当成程序执行。两头都要卡：上传时校验扩展名、MIME 和实际文件头，重命名原始文件，最好把文件丢到独立域名或者对象存储上；服务器层面在上传目录禁止执行脚本，Nginx 里把那一段 php 处理单独掐掉，Apache 同理，别图省事给整站开解析。目录权限也一样，程序文件 644、目录 755 基本够用，看到有人把整站 chmod -R 777 的，等于把门直接拆了。出事最多的就是这一条。

第三类：配置和组件版本，最容易被忽略

这类不用写代码，纯属配置疏忽。数据库 3306 对外、Redis 没设密码、面板或者后台管理入口在公网裸奔、测试目录忘了删、备份文件躺在网站根目录能直接下载。还有组件：CMS 内核不更、插件一年不升、富文本编辑器是带洞的老版本、Java 那边还在用被公开过漏洞的公共库。这一类跟你的代码质量没关系，但一样能被人摸进来。判断方法很土：把对外开放的端口列一遍，把能公网访问的目录列一遍，把组件列表对着厂商的安全公告看一遍，心里大概就有数了。具体哪些版本受影响，以厂商的官方公告为准。

动手之前，把备份和日志先做了

这两件事顺序不能反。先做一次完整备份，程序文件和数据库都要，条件允许再打一份快照，或者把备份放到另一台机器上——修复本身可能把站弄挂，你手一抖删错东西，能回滚就是保命。第二件事是把访问日志和错误日志捞出来看一眼，确认有没有已经进来的痕迹：陌生的文件名、非工作时间的批量 POST、你不认识的管理员账号、最近被改过时间的文件。如果确认已经有人进来过，那就不只是修漏洞，还得清后门，这跟单纯加固是两码事。

三种修法，对应三种严重程度

能升级的就升级，打补丁了事，组件版本类最适用，成本也最低。暂时升不了的做隔离：把受影响的接口关掉、把危险目录从公网屏蔽、加一条规则挡住已知的利用特征、把管理端口的访问 IP 收紧。这属于打绷带，能争取时间但别当长期方案，对方换个 payload 可能就绕过去了。代码里确实有洞又改不动的（外包做的、没人维护的老系统），那就得考虑推倒重来或者换一套维护活跃的程序，长痛不如短痛。选哪种，看这个洞被利用的代价，不看你修起来爽不爽。

修完不算完，复测这一步别省

改完之后拿原来看出问题的地方再走一遍，用同一个工具、同一套 payload 打一次，看还灵不灵。更稳的是换个工具，或者手工验一下，不同扫描器的规则本来就不一样。然后盯几天日志，看看有没有换姿势继续来的。有个提醒：扫描器显示「已修复」不代表真的修好了，它只说明这一个特征匹配不上了。反过来，扫出来的一堆「疑似」也别都当回事，误报不少，先手工确认再动手，别把好端端的功能给关了。

这几个动作，劝你别做

只删掉后门文件却不修入口，过几天人家从同一个口子再进一次；一出事就把目录改成 777，省心的同时也把自己送走；没备份就升级大版本，升级失败的例子我见过不止一次；装个来路不明的「一键修复」插件就安心，那插件本身就是风险；把安全当成一次性任务，修完就忘，几个月后老洞重开。这几条里，随便中一条都够你忙活的。

真要现在动手，顺序是这样：先把备份做完，再把对外端口和可访问目录列一遍，对着日志确认有没有已经进来的痕迹，然后按能升级先升级、升不了先隔离的思路处理，最后留出复测和观察的时间。安全这件事没有一劳永逸，能做到清楚自己的站上有哪几类洞、并且在被利用之前处理掉，就已经比大多数站强了。