网站被黑，网站十有八九是漏洞你自己留着门没关。别急着怪黑客神通广大，修复多数漏洞都是网站低级失误——弱口令、老版本、漏洞上传点不设防。修复我见过最离谱的网站一次，某公司后台密码是漏洞“admin123”，安全扫描工具五分钟就能撞开，修复哪需要什么高深技术。网站

修复漏洞，漏洞第一件事不是修复打补丁，而是网站搞清楚攻击者进来了没有。先查服务器日志，漏洞看异常登录、修复可疑的POST请求、文件上传记录。如果发现陌生IP在凌晨三点频繁访问后台，那基本可以断定已经被试探过了。这时候别慌，先断网隔离，再备份完整日志和数据库快照，这些都是后续追责和加固的证据。

SQL注入是历史最悠久的漏洞之一，但至今仍有大量站点中招。原理很简单：用户输入的内容被当成SQL代码执行了。修复方法也直接——所有数据库查询必须用参数化查询，或者预编译语句。举个例子，原来你写SELECT * FROM users WHERE name='$input'，改成SELECT * FROM users WHERE name=?，然后绑定变量。别嫌麻烦，这行改动能挡住九成注入攻击。

XSS攻击更隐蔽，它不直接偷数据，而是往你页面里塞恶意脚本。攻击者可能通过评论区、搜索框注入一段JavaScript，等管理员一登录，cookie就被偷走了。修复思路是“输出编码”——所有用户生成的内容，在渲染到HTML之前，把尖括号、引号等特殊字符转义成实体。你可以在服务器端统一加过滤器，也可以在前端框架里启用默认转义。关键是别信任任何输入，哪怕是你自己的编辑后台。

文件上传漏洞是另一个重灾区。很多网站允许用户传头像、传附件，但没检查文件内容。攻击者上传一个伪装成图片的PHP文件，服务器直接执行了。修复方案分三层：第一，校验文件扩展名和MIME类型，白名单后缀；第二，重命名文件，随机生成文件名，去掉可执行后缀；第三，最关键——把上传目录设为禁止执行脚本。在Nginx里加一行location ~* \.(php|jsp)$ { deny all; }，就能掐断后路。

别忘了更新软件版本。CMS、插件、主题，每一个都是潜在入口。很多站长觉得“我的网站没多少人访问，不会有人盯上”，恰恰是这种心态害死人。黑客用自动化脚本批量扫描全网，专挑老版本下手。你用的WordPress还停留在三年前，那基本等于在门口挂了个“欢迎入侵”的牌子。升级前先备份，升级后跑一遍功能测试，别怕麻烦。

最后说个容易被忽略的点——权限最小化。数据库账号别用root，给个只读权限就够了；后台登录加个双因素认证；服务器SSH密钥别用默认端口。这些措施不直接“修复”某个漏洞，但能大大缩小攻击面。就像家里装了防盗门，虽然不能保证绝对安全，但至少让小偷觉得费劲，转而挑软柿子捏。

网站安全不是一锤子买卖。修完这个漏洞，明天可能冒出新的。保持关注安全公告，定期做渗透测试，把修复流程文档化。说实话，没有谁能做到百分百安全，但至少别当那个用“admin123”当密码的傻瓜。