2023年秋天，网站一个做外贸的有漏朋友给我打电话，说他的网站独立站被谷歌标记为"危险网站"，流量直接归零。有漏我帮他查了一下，网站问题出在一个三年前就停更的有漏WordPress插件上——那个插件有个文件上传漏洞，攻击者能直接往服务器里塞后门脚本。网站他的有漏网站表面上看不出任何异常，但搜索引擎已经把它拉黑了。网站

这事让我意识到一个挺讽刺的有漏现实：很多人觉得网站有漏洞是因为被黑客"盯上"了，其实大部分时候，网站漏洞就安安静静地待在那里，有漏没人管，网站直到某个自动化扫描脚本路过，有漏顺手利用一下。网站你甚至不知道发生了什么。

漏洞不是"有没有"的问题

任何网站都有漏洞。这不是危言耸听，而是一个工程事实。代码是人写的，人就会犯错。区别只在于：有些漏洞已经被发现并修补了，有些还没被发现，有些被发现了但没人在意。

我见过一个企业官网，后台登录页面用的是"admin/123456"。我随口问了一句，对方说"我们网站又没什么值钱的东西，谁会来黑？"结果三个月后，网站被挂上了博彩链接。攻击者根本不挑目标，他们用脚本批量扫描全网IP段，谁的密码弱就进谁的。你的网站有没有价值，不由你决定，由攻击者的自动化工具决定。

最常见的漏洞，往往最不起眼

SQL注入、XSS跨站脚本、文件包含、弱口令——这些词听起来很技术，但落到实际场景里，可能就是某个搜索框没做过滤，或者某个评论区允许直接提交HTML代码。一个做摄影博客的网友跟我说，他的网站被人注入了恶意跳转代码，访客从谷歌点进来会被重定向到色情网站。查了半天，发现是留言板的一个旧版本存在存储型XSS漏洞，攻击者把脚本写进了留言内容里，每次有人打开页面就自动执行。

这种漏洞的危害被严重低估了。它不直接偷数据，但能毁掉你的域名信誉。谷歌一旦标记你，恢复起来少则几周，多则几个月。流量没了，客户也就没了。

修补漏洞，不是装个插件就完事

很多人以为装个安全插件、开个防火墙就万事大吉。我自己的经验是，这些东西有用，但解决不了根本问题。根本问题在于：你用的东西是不是还在维护？你的代码有没有基本的输入验证？你的服务器权限设置是不是过于宽松？

去年帮一个客户做安全排查，发现他的网站根目录权限是777。这意味着任何脚本都能往目录里写文件。攻击者上传一个webshell，就能完全控制服务器。这个设置是怎么来的？他说当初安装程序时，教程里写着"如果遇到权限问题，改成777"。他改完就忘了改回去。

漏洞往往就藏在这些"临时解决一下"的操作里。

一个更现实的视角

我不建议把网站安全想得太复杂，但也不能不当回事。如果你用的是开源CMS，保持核心、主题、插件全部更新到最新版本，这能挡掉大部分自动化攻击。如果你自己写代码，所有用户输入的地方都做过滤和转义，数据库查询用参数化，别拼字符串。密码别用弱口令，后台路径别用默认的。这些事做下来，你的网站就不是"最好欺负的那个"了。

攻击者的逻辑很简单：挑软柿子捏。你不需要做到无懈可击，只需要比隔壁那个三年没更新的网站难搞一点就行。

回到开头那个朋友的事。后来他把插件删了，清理了后门，提交了谷歌重新审核，两周后流量慢慢恢复。他说了一句话我印象挺深："我以为网站建好就完事了，原来还得养着。"

对，网站不是一锤子买卖。它更像一间房子，你得时不时检查门窗有没有松动，屋顶有没有漏雨。漏洞一直在，问题是你什么时候去看它。

(责任编辑：百科)