上个月中旬，一个做机械设备的老客户半夜给我打电话，说公司官网打开全是赌博广告，首页banner全被替换了。我登上服务器一看，网站后台密码是123456，程序三年没更新过，服务器上还躺着两个早就不用但没删的旧站。这种案例我每个月都要处理一两单，企业网站的安全问题，其实九成出在「没人管」这三个字上。今天不聊虚的，就给企业网站负责人6个日常就能做的安全防护动作，做完这6件事，你的网站安全性就能甩开大多数同行。

动作一：后台密码和登录方式先加固

弱密码是入侵的头号入口。我们处理过的被黑网站，超过一半的后台密码是admin、123456、手机号这种级别。密码怎么设不用多说，用密码管理器生成一串没人猜得到的就行。

比密码更管用的是限制登录入口。现在主流的建站系统都支持后台绑定访问IP或者加二次验证，公司有固定出口IP的，直接把后台限制成只允许公司IP访问，黑客连登录页都摸不到。没有固定IP的，至少把登录路径改掉，别用默认的/admin这种地址，能挡掉大部分扫着默认路径撞库的脚本。

动作二：程序和插件保持更新

网站程序、主题、插件的安全补丁，就是给门换锁。很多被黑的网站，漏洞其实早在半年前就有官方补丁了，站长一直没更新。这里有个原则：官网这类低频维护的站点，更新前先备份，备份完再打补丁，两分钟的事，别嫌麻烦。

还有一类高危对象是「僵尸插件」——早就不用了但一直留在服务器上的旧主题、旧插件、旧站点目录。每个多出来的文件都是多一扇没锁的门。清理一次服务器，把不用的东西全删掉，这一步往往比装任何安全软件都管用。

动作三：权限收敛，别图方便全开777

程序报错就随手把目录权限改成777，这是不少建站老手的坏习惯。目录可写权限应该只给真正需要上传文件的目录，其他目录只读。网站根目录下的配置文件，权限收紧到只有运行账号可读。权限这一块看着枯燥，但入侵者拿到webshell之后能不能横向扩散，很大程度上取决于权限收没收紧。

动作四：HTTPS和WAF该上就上

SSL证书现在成本已经很低了，免费的也够用，没理由再裸奔HTTP。HTTPS防的是传输链路被劫持插广告，你网站打开弹赌博页，有一部分就是链路劫持干的，不一定是你服务器被黑。

条件允许的话再上一层WAF（网站应用防火墙），云厂商都有现成的，一年的费用也就几百块。它能拦掉SQL注入、跨站脚本这类常规攻击，还能限速防CC。一个做批发的客户上了WAF之后，安全日志里每天拦掉的恶意请求有几千条，没有这层的时候，这些请求是直接打到网站上的。

动作五：定期备份，异地存一份

备份是所有防护失效之后的那道保险。原则很简单：定期、异地、可恢复。数据库每天备，整站每周备，备份文件放到服务器以外的地方——对象存储、另一台机器都行，千万别和网站放同一台服务器，被黑的时候备件会被一起加密勒索。

另外备份要演练恢复，起码恢复一次验证备份文件是好的。我见过不少客户的备份文件本身就是坏的，真出事才发现备了个寂寞。

动作六：盯住异常信号

收尾说个无偿但有效的习惯：每周花五分钟看一眼这几样——网站日志里异常多的404和POST请求；后台有没有陌生的管理员账号；网站文件里近期被修改的文件列表（重点看有没有被改过的PHP或ASP文件）；搜索引擎收录里有没有莫名多出来的奇怪页面。

被挂马都有窗口期，越早发现处理成本越低。等你从客户嘴里知道网站被黑，一般都已经挂了几个星期了，收录污染、百度降权，善后再麻烦也得受着。

写在收尾

网站安全不是一次性的工程，是日常维护的一部分。这6个动作加起来，一年花不了几个小时，但能挡掉九成以上的常见攻击。企业官网是客户搜到你、了解你的门面，门面被篡改的损失远不止重装系统那点工时。有网站但一直没人管的老板，建议把这个清单转给负责的人，这个周末就动手做一遍。

关注左左，你需要一个懂技术的朋友。