第一：首頁(yè)我們要知道哪些因素是影響網(wǎng)站安全性問(wèn)題。
1、網(wǎng)站的空間/服務(wù)器
很多網(wǎng)站都是購(gòu)買(mǎi)比較便宜的空間，此類網(wǎng)站的安全性能最差，如果賣(mài)空間的人盈利很低，更何談幫你維護(hù)服務(wù)器安全性能。更不談什么穩(wěn)定性，所以很容易就被入侵，如果購(gòu)買(mǎi)的是獨(dú)立服務(wù)器或VPS，應(yīng)該要配一個(gè)專業(yè)的技術(shù)維護(hù)人員，要配置服務(wù)器的安全，設(shè)置服務(wù)器文件的權(quán)限，如果網(wǎng)站主沒(méi)辦法聘請(qǐng)專業(yè)人員，更應(yīng)該外包給技術(shù)人員，因?yàn)橐粋�(gè)文件夾權(quán)限錯(cuò)誤都可能導(dǎo)致整個(gè)服務(wù)器癱瘓而被入侵。
2、網(wǎng)站程序問(wèn)題
網(wǎng)站程序是個(gè)大問(wèn)題，如果程序選擇的不對(duì)，被入侵的機(jī)會(huì)非常大。很多網(wǎng)站都是下載一些免費(fèi)開(kāi)源的源碼來(lái)做網(wǎng)站的，此類型網(wǎng)站有2種情況。
(1)下載一個(gè)毫無(wú)知名度的免費(fèi)源碼，此類的免費(fèi)源碼被入侵的可能性超過(guò)百分之99，因?yàn)槊赓M(fèi)，使用者少，開(kāi)發(fā)者更不會(huì)去完善漏洞，更不會(huì)去升級(jí)，導(dǎo)致此類網(wǎng)站逐漸的會(huì)出現(xiàn)漏洞，所以，即使大家要選擇開(kāi)源免費(fèi)的程序，一定要選擇知名度比較高的。
(2)下載知名的建站CMS，如：DEDECMS PHPWING 動(dòng)易CMS ECSHOP 等免費(fèi)程序，此類程序使用者比較多，開(kāi)發(fā)者也會(huì)經(jīng)常更新漏洞以及升級(jí)，但是同樣的，因?yàn)槭褂谜弑容^多，黑客更喜歡尋找此類型網(wǎng)站的漏洞來(lái)進(jìn)行掛馬，所以，此類型網(wǎng)站需要及時(shí)的更新漏洞以及升級(jí)，還要根據(jù)安全提示去更改文件夾權(quán)限。
3、后臺(tái)路徑以及賬號(hào)密碼
筆者今天就幫客戶維護(hù)一個(gè)網(wǎng)站，他的后臺(tái)路徑是/ADMIN 賬號(hào)是admin 密碼是admin123，此類網(wǎng)站如果不被入侵，那都是奇怪的事情了。即使網(wǎng)站程序和網(wǎng)站空間配置的多么好，后臺(tái)的路徑更不應(yīng)該是大眾式的后臺(tái)路徑，賬號(hào)和密碼也是最通用的，如果黑客用服務(wù)器進(jìn)行掃或嘗試登陸后臺(tái)，很容易就讓他們得逞，入侵都是輕而易舉的事情了。所以大家后臺(tái)路徑要設(shè)置好，賬號(hào)盡量不要用admin，密碼也不要用常用的。盡量有大小寫(xiě)字母的組合!
第二：如何防止網(wǎng)站被攻擊或者被入侵。
1、使用安全加密技術(shù):
用戶或者是管理員在注冊(cè)登錄的時(shí)候，服務(wù)器會(huì)對(duì)用戶或者是管理員的密碼進(jìn)行加密，就是把明文的密碼加密成一串加密字符串，通過(guò)不安全的網(wǎng)絡(luò)傳輸?shù)綌?shù)據(jù)庫(kù)服務(wù)器上進(jìn)行儲(chǔ)存或者匹配等。常用的加密技術(shù)有 Md5加密，SSL加密等。
2、防止流量攻擊
這種攻擊就是我們常聽(tīng)說(shuō)的DDoS攻擊，它分為兩種方式帶寬攻擊和應(yīng)用攻擊，但我這里講的是指流量攻擊中的常見(jiàn)的寬帶攻擊，是競(jìng)爭(zhēng)對(duì)手慣用的一種方法，一般是使用大量數(shù)據(jù)包淹沒(méi)一個(gè)或多個(gè)路由器、服務(wù)器和防火墻，使你的網(wǎng)站處于癱瘓狀態(tài)無(wú)法正常打開(kāi)。對(duì)于這種攻擊競(jìng)爭(zhēng)對(duì)手都會(huì)花費(fèi)人力和財(cái)力的，如果是真正意義上的DDoS攻擊更是花費(fèi)不少，個(gè)人認(rèn)為當(dāng)遇到流量攻擊時(shí)不要驚慌，這種方式的花費(fèi)競(jìng)爭(zhēng)對(duì)手也是吃不消的，所以不會(huì)持續(xù)太久，如果是真正意義上的 DDoS攻擊，你的空間商也會(huì)做相應(yīng)措施的。建議：選擇有實(shí)力有一定規(guī)模的服務(wù)商，假如有經(jīng)濟(jì)條件你可以購(gòu)買(mǎi)節(jié)點(diǎn)服務(wù)器。
3、 防拷貝
當(dāng)您在瀏覽銀行的網(wǎng)銀時(shí),您經(jīng)常會(huì)發(fā)覺(jué)您沒(méi)辦法在銀行網(wǎng)銀的界面里面使用鼠標(biāo)右鍵.這樣可以阻止客戶端通過(guò)右鍵�？淳W(wǎng)站的源代碼，這樣可以有效的防范網(wǎng)站客戶端代碼(如：HTML，Js，Css，Img)被拷貝等。
4、 對(duì)用戶輸入的內(nèi)容進(jìn)行過(guò)濾:
大部分的網(wǎng)站安全問(wèn)題都是客戶端通過(guò)文本輸入框輸入的。網(wǎng)站服務(wù)端需對(duì)客戶端輸入的內(nèi)容進(jìn)行過(guò)濾，如：把客戶端輸入的等代碼過(guò)濾掉。這樣會(huì)相對(duì)有效的防范客戶端的 注入式攻擊和XSS攻擊等。
5、防止破壞數(shù)據(jù)性攻擊
這種攻擊時(shí)最致命，也是最卑鄙的一種手段，網(wǎng)站權(quán)限被拿到，數(shù)據(jù)被刪除，這樣就會(huì)造成大量的無(wú)頁(yè)面鏈接，即死鏈接，這對(duì)于網(wǎng)站來(lái)說(shuō)是致命的，不僅搜索引擎會(huì)降權(quán)，還會(huì)丟失大量用戶。建議：經(jīng)常備份網(wǎng)站數(shù)據(jù)和網(wǎng)站關(guān)鍵程序，最好打包到本地電腦里;ftp和后臺(tái)相關(guān)密碼不要用弱口令。
6、使用URL偽靜態(tài):
網(wǎng)站的網(wǎng)址中經(jīng)常帶有參數(shù)，動(dòng)態(tài)的參數(shù)往往會(huì)暴露了網(wǎng)頁(yè)之間的傳參關(guān)系，增加了不安全性。假設(shè)把動(dòng)態(tài)的參數(shù)重寫(xiě)為偽靜態(tài)的，可隱藏動(dòng)態(tài)的參數(shù)，從而提高了網(wǎng)站的安全性。
7、 使用參數(shù)化查詢:
有時(shí)候?qū)蛻舳溯斎氲膬?nèi)容進(jìn)行匹配還不足以防范Sql注入，而使用參數(shù)化查詢可從根源上杜絕Sql注入。
8、 對(duì)用戶的ip進(jìn)行過(guò)濾:
這種方式可以過(guò)濾掉一些不友好的訪客的ip地址，有效的阻止了拒絕服務(wù)攻擊等。
9、 系統(tǒng)記錄日志：
包括服務(wù)器日志和Sql日志等，網(wǎng)站管理員可以通過(guò)日志中記錄的內(nèi)容查看客戶端在訪問(wèn)當(dāng)前網(wǎng)站的行為，發(fā)現(xiàn)有一些破壞性的行為，可進(jìn)行下一步操作。
湘公網(wǎng)安備 43010302000270號(hào) 統(tǒng)一社會(huì)信用代碼：92430103MA4LAMB24R 網(wǎng)站ICP備案號(hào)：湘ICP備13006070號(hào)-2 
