上周五凌晨三点，网站我的防黑一个做跨境电商的朋友被电话吵醒。服务器上的网站产品价格全被改成0.01元，订单像雪崩一样涌进来，防黑一晚上“卖”出八千多单。网站等他爬起来关掉支付接口，防黑账面亏损已经够买一辆Model 3了。网站黑客没用什么高深技术，防黑就是网站扫到了他后台一个三个月没更新的插件漏洞。

这事听着离奇，防黑其实每天都在发生。网站网站被黑，防黑九成以上不是网站被“攻破”的，而是防黑自己“敞开”的。我见过太多小站长，网站装个开源程序就撒手不管，密码用admin123，FTP端口裸奔在公网上——这哪是建网站，分明是给黑客递钥匙。

防黑客的第一步，不是买多贵的防火墙，而是把该关的门关上。修改默认后台路径、强制复杂密码、开启双因素认证，这三件事花不了半小时，却能挡掉80%的脚本扫描攻击。我认识一个做独立站的哥们儿，被黑过三次之后学乖了，现在连后台登录页都换了随机目录名，黑客扫不到入口，自然就换目标了。

第二步是给网站“打疫苗”——保持更新。很多攻击利用的都是已知漏洞，官方早发了补丁，你偏不装。就像你家门锁坏了，厂家免费给换新锁芯，你嫌麻烦不换，还怪小偷太专业？WordPress、织梦、帝国CMS，哪个没爆过严重漏洞？关键是你能不能做到每次提示更新就立刻动手。别信“等闲了再更”这种鬼话，黑客可不等你。

再说说数据备份，这可能是最无聊但最救命的一步。我见过一个做教育机构的，被勒索病毒加密了全部学员资料，对方要价三个比特币。他没备份，要么交钱，要么看着十年积累打水漂。最后咬牙付了赎金，数据拿回来一半，另一半被黑客“忘了”解密。要是他每周自动备份一次到异地服务器，直接恢复系统就行，顶多损失一天的数据。

还有一层防护常被忽略——权限最小化。别给每个员工都开管理员账号，也别让数据库以root权限运行。去年有个公司被拖库，就是因为客服账号都能执行DROP语句。黑客拿到低权限账号后，像逛超市一样在数据库里翻了个遍。记住：给你的系统用户“够用就好”的权限，别图省事一刀切。

最后说点得罪人的实话。市面上那些号称“永不破解”的安全产品，基本都是吹牛。安全是个动态对抗的过程，没有一劳永逸的解决方案。我自己的服务器也被扫过无数次，日志里全是各种探测请求，但真正有效的攻击一次都没成——因为我连管理端口都换了非标准号，密码用密码管理器随机生成，每90天轮换一次。黑客扫描成本高了，自然就挑软柿子捏。

网站防黑客，说白了就是别当那只最显眼的羊。把基础工作做到位，让攻击者觉得“这网站太麻烦”，你就赢了。别等到凌晨三点被电话吵醒才后悔——那滋味，真不好受。