去年有个做外贸的朋友半夜给我打电话，说公司官网被挂了一堆菠菜链接。防止我让他赶紧看服务器日志，网站结果发现攻击者是被篡通过一个两年前就没更新的插件进来的。这种事情我见过太多——网站被篡改，什软往往不是防止黑客多厉害，而是网站自己留的门太多。

真要防篡改，被篡别指望单一软件能包治百病。什软你得从文件层、防止数据库层、网站访问层同时下手。被篡我把自己折腾过的什软几类工具拆开说。

文件监控：第一时间发现异常

网站被篡改最直接的防止表现就是文件变了。首页被塞了暗链，网站或者多出一个shell.php。这时候你需要的是文件完整性监控工具。

Tripwire是老牌选手，但它配置起来有点烦，适合有专门运维的团队。更轻量的是AIDE，一条命令就能生成文件指纹库，之后定期比对。我自己的小站用OSSEC，它不仅能监控文件变化，还能扫日志里的可疑请求。有一次它半夜给我发告警，说/uploads/目录下多了个.php文件，我爬起来一看，果然是个刚上传的后门。

不过这类工具有个通病：网站正常更新时也会触发告警。你得把后台、缓存目录排除掉，不然每天收几百封邮件，很快就麻木了。

Web应用防火墙：挡住大部分自动化攻击

文件监控是事后发现，WAF是事前拦截。开源方案里ModSecurity配OWASP核心规则集是标配。它能拦SQL注入、XSS、文件包含这些常见手法。我见过一个客户，装完ModSecurity第二天就拦下了一个扫描器，日志里全是union select的请求。

但WAF不是万能的。规则太严会误杀正常请求，太松又等于没装。而且现在很多篡改是通过盗取后台密码直接登录完成的，WAF根本拦不住——因为请求看起来完全合法。所以别把WAF当护身符。

文件权限与版本控制：从源头减少入口

说个反直觉的：最好的防篡改软件可能是Git。把网站代码纳入版本控制，服务器上只部署git pull拉下来的文件。这样任何手动修改都会在git status里暴露出来。我自己的博客就是这么干的，服务器上连FTP都不开，改东西只在本地改完push。

配合chattr +i命令把关键文件设为不可变，连root都改不了。有一次我忘了解锁就更新WordPress，结果更新失败，但至少说明这招确实能挡住篡改——包括你自己的误操作。

数据库防篡改：别忽略这个角落

很多人只盯着文件，忘了数据库里的内容也能被改。比如把文章内容替换成赌博链接，或者把管理员邮箱改成攻击者的。这时候需要数据库审计工具，比如MySQL Audit Plugin或者Percona审计日志。它们能记录所有UPDATE和DELETE操作。我一般还会给关键表加触发器，一旦wp_options里的siteurl被修改就发邮件。

说个真实案例：有个客户的网站首页被跳转到色情站，但文件没变。查了半天发现是数据库里wp_options表的home字段被改了。这种篡改文件监控根本发现不了。

我的实际组合

如果让我给一个中等规模的网站配方案，我会这么搭：服务器上跑OSSEC做文件监控，ModSecurity做请求过滤，代码用Git管理，数据库开审计日志。再配个Fail2ban封掉反复尝试登录的IP。这套组合不贵，但能挡住九成以上的自动化篡改尝试。

最后说句实在话：没有哪个软件能保证网站绝对不被篡改。攻击者在进化，你的防御也得跟着调。定期看日志，及时打补丁，比装一堆工具然后不管要强得多。