上个月帮一个做跨境电商的网站朋友看他的独立站，刚打开后台日志我就愣住了——过去72小时里，安全来自乌克兰和巴西的评估IP尝试了四千多次登录请求，用的报告全是"admin""test""123456"这类弱口令。他的网站站用的是某开源商城系统，版本号还停留在两年前。安全更离谱的评估是，数据库备份文件就明晃晃放在网站根目录下，报告文件名是网站backup.sql，浏览器直接能下载。安全

这不是评估个例。我经手过的报告小型站点里，超过六成存在至少一个能直接导致数据泄露的网站漏洞。很多站长觉得"我站小，安全没人盯上"，评估但攻击早就自动化了。扫描器不分大小，批量扫IP段，撞到一个算一个。你的站被攻破，可能只是因为某个插件三天前爆了新的CVE，而你没看到。

一、漏洞从哪来？

最常见的是三类。第一，过期组件。WordPress插件、主题、甚至PHP版本本身，旧版本里藏着已知漏洞，攻击者拿着公开的EXP直接打。第二，配置错误。比如目录列表没关，上传目录能执行脚本，数据库端口对公网开放。第三，代码层面的注入。尤其是自己写的表单处理逻辑，没做参数化查询，一个单引号就能把用户表拖走。

我见过一个案例：某企业官网的留言板功能，后端直接拼接SQL语句。攻击者提交一条留言，内容里带' UNION SELECT 1,user(),3-- -，数据库版本和当前用户直接回显在页面上。从发现到利用，不到两分钟。

二、怎么查？

手动看几处关键位置，能筛出大部分问题。先看HTTP响应头，有没有暴露服务器版本、框架版本。再看robots.txt和sitemap，有时候管理员忘了删测试目录，里面全是phpinfo页面。然后翻上传功能，传一个内容为<?php echo 123; ?>的jpg，看能不能访问到。如果能，直接getshell。

自动化工具可以辅助，但别全信。AWVS和Xray扫出来的报告，误报率不低。我习惯用Burp Suite手动过一遍关键请求，尤其是登录、搜索、文件下载这几个接口。参数里试试../、'、${ }，看响应有没有异常。很多时候，一个简单的路径穿越就能读到/etc/passwd。

三、修什么？优先级怎么排？

别想着一次全修完。先堵能直接拿权限的洞：SQL注入、文件上传、命令执行。这些修完，再处理信息泄露类的，比如目录列表、错误回显、备份文件暴露。最后才是加固类的，比如加WAF、改默认后台路径、开双因素认证。

有个细节容易被忽略：日志。很多站被入侵后，管理员第一反应是删站重装，日志全没了。至少保留30天的访问日志和错误日志，出事了能回溯攻击路径。我见过一个站，攻击者留了webshell，但管理员没发现，三个月后数据被拖库，连什么时候进来的都不知道。

最后说个真实数据。我统计过自己处理过的127个中小型站点，修复完高危漏洞后，平均每月仍会收到2000次以上的恶意扫描请求。但成功入侵的，降到了零。安全不是一次性的，是持续对抗。你不需要做到滴水不漏，只需要比隔壁那个用admin/admin的站更难打就行。