去年有个做外贸的网站朋友找我，说公司官网首页被人换成了一张挑衅图片，防篡挂了整整两天才发现。改软客户发邮件来问，网站他才知道出事了。防篡这事不复杂——网站被入侵，改软页面被篡改。网站他问我有没有什么办法能自动盯着，防篡别等客户来投诉才知道。改软这就是网站网站防篡改软件要解决的问题。

这类软件的防篡核心逻辑其实不复杂：它先给网站的所有正常文件拍个"快照"，记下每个文件的改软哈希值、修改时间、网站大小。防篡之后每隔几秒或几分钟去比对一次，改软一旦发现某个文件的哈希对不上，立刻报警，有些还能自动把被改的文件还原回去。说白了就是不停地问一句："这还是原来那个文件吗？"

但真正用起来，坑不少。

轮询比对，最老实但也最笨

早期很多防篡改工具就是定时扫描。五分钟扫一遍全站，发现改动就触发动作。问题在于，如果攻击者在这五分钟窗口内改完、你还没扫到，页面照样在对外服务。更麻烦的是，有些网站本身内容更新频繁——比如新闻站、商品页——每次正常更新都会被误判成篡改。我见过一个运维把扫描间隔调成24小时，理由是"误报太多受不了"。那这跟没装有什么区别？

内核级拦截，反应快但挑环境

另一类做法是挂在内核层面，直接拦截文件写操作。任何进程试图修改受保护目录下的文件，先过它这一关。白名单里的进程（比如你的发布系统）放行，其他一律阻断。这种方式响应是实时的，不存在扫描窗口的问题。但它对操作系统版本、内核模块兼容性要求高，Windows Server和各家Linux发行版上的表现差异明显。而且一旦规则配错，可能把自己的正常发布流程也堵死。有个客户就遇到过：运维忘了把CI/CD的部署账号加进白名单，结果半夜自动发布全部失败，排查到凌晨三点。

实际部署中真正要关注的几件事

选型的时候别只看功能列表。我自己的经验是，先想清楚三个问题：

你的网站更新频率多高？如果一天更新几十次，纯轮询方案基本不可用，误报会让你把告警关掉。这时候要么用内核拦截加白名单，要么用基于inotify的实时监控，别用定时扫描硬扛。

谁来处理告警？很多产品报警很积极，短信、邮件、钉钉全上，但收到告警之后呢？如果没有自动还原机制，半夜三点收到短信的人还得爬起来手动恢复。自动还原功能比告警本身更重要。

数据库怎么办？页面篡改往往伴随数据库内容被改。只保护静态文件的防篡改软件，面对SQL注入导致的内容篡改基本无能为力。有些产品会同时监控数据库关键表的变动，这个在实际对抗中价值很大。

还有个容易被忽略的点：防篡改软件自己得是安全的。它通常需要较高的系统权限，如果自身存在漏洞，反而成了攻击入口。部署时尽量把它和Web服务做隔离，别让Web进程能碰到防篡改的配置文件。

回到我那个朋友的事。后来他装了一套带自动还原的防篡改系统，把发布流程也接了进去。上个月又有人尝试改首页，这次页面在几秒内被还原，他收到一条告警，登录后台看了一眼攻击IP，封掉，前后不到十分钟。他说这回总算不用等客户来当报警器了。

防篡改不是万能药。它挡不住DDoS，也防不了代码层面的逻辑漏洞。但如果你的网站是门面，是吃饭的家伙，花点时间把这层兜底做上，比事后道歉划算得多。