网站安全

去年秋天，网站安全我帮一个做独立博客的网站安全朋友查服务器日志，发现每天凌晨三点左右，网站安全总有几个来自东欧IP的网站安全请求，试图访问 `/wp-login.php`。网站安全频率不高，网站安全每次就几十条，网站安全但持续了整整两周。网站安全他没装任何防护插件，网站安全密码是网站安全 `admin123`。我让他立刻改密码、网站安全加双因素认证，网站安全顺手把登录入口换了路径。网站安全三天后，网站安全那些请求还在，网站安全但全部撞在404页面上。这事不大，可它说明一个事实：多数网站被攻破，不是因为黑客多高明，而是因为管理员懒得做基本动作。

网站安全的第一道裂缝，往往藏在代码的细节里。比如用户输入框。你写一个搜索功能，直接把 `$_GET['q']` 拼进SQL查询，攻击者就能在URL里塞一段 `' OR 1=1 --`，把整张用户表拖走。这不是什么高级漏洞，OWASP Top 10 里它排第一，叫注入。防御办法也简单：用参数化查询，或者至少对输入做转义。可很多人图省事，觉得“我这小站没人盯”。问题是，扫描器不挑食。一个爬虫一天能扫几十万个IP，你的小站只要在线，就会被扫到。

跨站脚本（XSS）是另一个常被忽视的点。你允许用户评论，评论里写 ``，如果前端直接渲染，这段脚本就在别人浏览器里执行了。轻则弹窗恶作剧，重则盗取Cookie、伪造请求。我见过一个论坛，因为没过滤富文本编辑器里的 `onerror` 属性，被人挂上挖矿脚本，访客CPU直接跑满。修起来倒不难——输出时用 `htmlspecialchars()` 转义，或者上CSP（内容安全策略）。但前提是你得意识到：用户输入永远不可信。

传输层呢？HTTPS 早就不该是可选配置了。Let's Encrypt 免费证书申请只要几分钟，自动化续期也不复杂。可有些站点还在用HTTP，登录表单明文提交，中间人一抓一个准。更糟的是混合内容——页面走HTTPS，但图片或脚本走HTTP，浏览器会警告，攻击者也能借此注入。我自己的做法是：全站强制HTTPS，HSTS头设一年，提交到预加载列表。这样即使用户手输 `http://`，浏览器也会自动跳转。

密码存储是另一个重灾区。用MD5或SHA1存密码，等于没存。现在显卡跑哈希的速度，每秒几十亿次，弱密码瞬间还原。正确做法是bcrypt、scrypt或Argon2，加盐、慢哈希。我见过一个老系统，数据库里密码是明文，管理员说“内网不怕”。结果内网一台机器中了勒索病毒，攻击者横向移动，把用户表全拖走了。内网不等于安全，这是血泪教训。

文件上传功能也容易出事。你让用户传头像，只检查了扩展名，攻击者把 `shell.php` 改成 `shell.php.jpg` 传上去，再想办法让服务器解析它。或者更直接，利用解析漏洞，比如 `shell.php\x00.jpg`。防御要综合：白名单扩展名、检查MIME类型、重命名文件、把上传目录设成不可执行。我习惯把上传文件存到Web根目录之外，用脚本读取后输出，这样即使传了恶意文件也执行不了。

最后说点实际的。别指望一劳永逸。安全是持续过程。每周看一次日志，每月更新一次依赖，每季度做一次漏洞扫描。WPScan、Nessus、OpenVAS，挑一个顺手的。备份要离线，要测试恢复。我见过太多人备份了但没试过还原，真出事时发现备份文件是坏的。还有，别在 production 环境开 `display_errors`，错误信息会泄露路径、数据库结构，甚至SQL语句。关掉它，写日志里。

网站安全没什么魔法。就是把已知的坑一个个填上，然后保持警惕。攻击者也在进化，但大多数时候，他们只找最容易的门。你把门锁好，他们就去下一家了。