降低网站被攻击篡改

去年有个做外贸的降低击篡朋友半夜给我打电话，说网站首页被换成了土耳其语的网站政治标语。他那个站一天也就几百个访客，被攻压根想不通为什么会被盯上。降低击篡攻击者根本不挑食，网站批量扫描工具跑一遍，被攻谁家门没锁就进谁家。降低击篡网站篡改这事，网站多数时候不是被攻针对你，是降低击篡你恰好站在了扫描器的路径上。

先说最容易被忽略的网站一环：后台入口。很多人把/admin、被攻/wp-login.php这类路径当成秘密，降低击篡其实扫描器字典里这些是网站标配。我见过一个站点，被攻后台密码是admin123，用了四年没改。攻击者用撞库工具跑了不到十分钟就进去了，然后通过主题编辑器直接写入一句话木马。整个过程不需要任何漏洞，纯粹是密码太弱。把后台路径改掉、加上登录失败锁定、强制两步验证，这三件事做完，能挡掉八成以上的自动化攻击。

文件权限是另一个重灾区。Linux服务器上，很多教程让你把目录设成777，图省事。这意味着任何进程都能往里面写东西。一旦某个插件被爆出任意文件上传漏洞，攻击者就能往你的目录里塞.php文件，然后直接访问执行。正确的做法是：目录755，文件644，上传目录单独隔离并且禁止执行PHP。Nginx里加一行location ~* /uploads/.*\.php$ { deny all; }，Apache用.htaccess也能做同样的事。这行配置不写，等于给攻击者留了一扇后门。

CMS和插件的更新拖延症，几乎是所有被篡改案例的共同点。WordPress本身的安全团队响应很快，但架不住你三个月不更新。去年一个高危漏洞出现在某个流行表单插件里，补丁发布后48小时内，全球就有超过十万次利用尝试。攻击者比你还勤快。我的做法是：核心程序开启自动小版本更新，插件每周手动检查一次，不用的插件直接删掉而不是停用。停用的插件文件还在服务器上，照样可能被利用。

数据库层面也有讲究。很多人给数据库用户分配了ALL PRIVILEGES，网站程序连接数据库用的就是这个账号。一旦SQL注入被利用，攻击者可以直接DROP TABLE或者写入恶意管理员账号。最小权限原则在这里同样适用：网站只需要SELECT、INSERT、UPDATE、DELETE，那就只给这四个，别给DROP和FILE。另外把wp_options表里的siteurl和home字段锁死，防止被篡改后跳转到钓鱼站。

监控和备份是最后的底线。我习惯在服务器上放一个脚本，每天对比核心文件的MD5值，一旦有变化就发邮件告警。听起来很土，但真能第一时间发现被篡改。备份要离线，别放在同一台服务器上。攻击者拿到权限后第一件事往往是删备份。我见过一个站长，备份文件和网站放在同一个目录，结果被一锅端。他现在学乖了，每周手动下载一份到本地硬盘。

说个真实的对比。两个同样用WordPress的站点，A站装了Wordfence、关了文件编辑、改了后台路径、权限设对、每周更新；B站裸奔。三个月后，A站日志里拦截了上千次暴力破解和漏洞利用尝试，B站已经被挂了三回马。攻击成本极低，防御成本也不高，差距就在有没有把那些不起眼的配置当回事。网站安全不是买个证书就完事了，它是一堆琐碎细节的叠加。你漏掉一个，攻击者就从这个口子进来。