一个朋友的网站公司网站被黑了。首页被换成了黑客的安全炫耀留言，数据库被拖走，设置用户密码明文躺在暗网论坛上。网站那天早上他打电话给我，安全声音都在抖。设置这让我想起一件事——大部分网站被攻破，网站不是安全因为黑客技术多高明，而是设置因为最基础的设置没做好。

登录入口是网站第一道门。我见过太多网站后台地址直接用/admin，安全密码还是设置admin123。你猜黑客怎么进？网站挨个试。写个脚本几分钟就能扫完整个IP段的安全网站。把后台地址改成不规则的设置路径，比如/wp-admin改成/weird-path-8842，密码用十六位以上的随机字符串，再加两步验证。光这三样，就能挡掉九成以上的暴力破解。

数据加密这事，很多人有误解。以为用了HTTPS就万事大吉。其实HTTPS管的是传输过程，数据到了服务器端存储时，该裸奔还是裸奔。我那个朋友的公司，数据库里的用户密码就是明文存的。黑客拿到数据库，等于拿到所有用户的账号密码。如果那些用户在其他网站也用了相同密码，连锁灾难就来了。正确做法是密码用bcrypt或argon2这类算法做哈希，加盐，哪怕数据库泄露，破解也需要时间——而这段时间足够你通知用户改密码了。

文件上传功能是个隐蔽的坑。很多网站允许用户传头像、传附件，但没检查文件类型。黑客传个.php文件上去，服务器直接执行，网站就沦陷了。我见过一个案例，某教育机构的上传接口没做任何过滤，黑客传了个webshell上去，整个服务器成了肉鸡，用来发垃圾邮件，直到被IDC封了IP才发现异常。解决办法很简单：上传文件重命名，强制改成图片扩展名，并且用getimagesize()等函数验证文件确实是图片，而不是伪装成图片的脚本。

CMS和插件更新这事儿，很多人嫌麻烦。WordPress后台天天提示有更新，就是懒得点。等真出了问题才后悔——大部分已知漏洞都有公开的利用代码，黑客就盯着那些不更新的站点扫。2019年有一个叫“ThinkPHP”的框架漏洞，网上公开了利用方法，三天之内就有几十万个网站被批量入侵。那些及时更新框架版本的，毫发无损；拖着的，全中招。更新补丁这事儿，别拖，拖一天就是给黑客留一天窗口。

备份这事我得单独说。不是让你备份了就算完，得确认备份能恢复。我一个客户，网站被勒索病毒加密，他倒是有备份，结果一测，备份文件也是坏的——因为备份脚本早就出错了，日志里全是报错，他根本没看。最后花了三倍价钱找数据恢复公司，才勉强找回一半内容。备份要自动化，定期测试恢复流程，别等出事了才想起来验证。

安全这东西，没有一劳永逸的解法。你今天堵住这个漏洞，明天可能冒出新的。但基础设置做扎实了，至少能挡住那些批量扫描的脚本小子。真正的定向攻击，那是另一回事，需要专业的安全团队。对大多数中小网站来说，把上面这几项落实，已经能避免九成以上的常见入侵。别等出了事再补救，那时候代价就大了。