网站安全维护不是网站维护装个防火墙就完事了。去年有个做外贸的安全朋友，服务器被植入挖矿脚本，包括CPU跑满才发现。网站维护他以为用了云服务商的安全基础防护就高枕无忧，结果漏洞出在一个三年前就没更新的包括WordPress插件上。这种事每天都在发生。网站维护

最基础的安全维护动作是补丁管理。操作系统、包括Web服务器、网站维护数据库、安全CMS、包括插件——每一层都有已知漏洞。网站维护攻击者并不都是安全高手，很多人只是包括拿着公开的扫描工具批量扫IP段，专找没打补丁的机器。Windows Server 2008停服后还在跑的机器，Apache Struts2那个远程命令执行漏洞，Log4j2的JNDI注入，这些老问题至今仍有大量站点中招。维护人员需要建立资产清单，知道自己在跑什么版本，订阅漏洞通告，测试后尽快更新。

访问控制常被忽视。后台登录页面暴露在公网，用admin/123456这种密码，等于把钥匙插在门上。我见过一个案例，攻击者用Burp Suite跑字典，两小时就进了某小型电商的后台，上传了webshell。基本措施包括：后台限制IP访问、强制复杂密码、启用双因素认证、关闭不必要的端口和服务。数据库尤其不能直接对外，3306和6379端口暴露在公网是常见错误。

Web应用防火墙（WAF）能挡掉不少自动化攻击。SQL注入、XSS跨站脚本、文件包含这些常见手法，WAF的规则库可以识别并拦截。但WAF不是万能的，它可能误杀正常请求，也可能被编码绕过。部署WAF之后要定期看日志，调整规则。有些攻击流量特征明显，比如大量请求同一个参数带特殊字符，或者User-Agent是sqlmap，这些在日志里一眼就能看出来。

日志和监控是事后追溯的关键。很多站点被入侵后完全不知道攻击者怎么进来的，因为没开日志或者日志只保留三天。建议至少保留30天访问日志和错误日志，关键操作日志（比如后台登录、文件修改）单独记录。可以配合OSSEC、Wazuh这类HIDS做文件完整性监控，系统关键文件被改动时发告警。流量层面用Netflow或者全流量抓包，异常外连能及时发现。

备份策略要能扛住勒索软件。3-2-1原则依然有效：三份副本，两种介质，一份离线。但备份本身也要测试恢复流程——我见过备份文件损坏、备份脚本没跑成功、备份服务器也被加密的情况。定期做恢复演练，确认数据能真正还原。备份账号和主站账号权限分离，避免一个被攻破全部沦陷。

代码层面的安全维护容易被忽略。自己开发的系统，输入验证、输出编码、参数化查询、CSRF token这些基本功要做。第三方组件用SCA工具（比如OWASP Dependency-Check）扫一遍，看看有没有已知漏洞的库。上线前做一次渗透测试，比出事后再补救便宜得多。

安全维护是持续过程，没有一劳永逸。每周花两小时检查更新、看日志、确认备份，比一年做一次大扫除管用。攻击面在变，维护动作也得跟着变。