南宁专业网站制作公司教你用免费工具防住80%漏洞

南宁专业网站制作公司教你用免费工具防住80%漏洞

网站做好了没人访问？别急着骂SEO做得差，先查查是不是被黑客搞了。很多老板以为上线就完事，结果服务器一开，漏洞就像筛子，流量没来，数据先丢。

在南宁做企业官网、商城开发，最怕的不是设计不好看，而是网站被挂马、被篡改，甚至直接打不开。中国互联网络信息中心(CNNIC)发布的第53次统计报告显示，我国网站数量超470万，但遭遇过安全攻击的比例高达60%以上。这不是吓唬人，是真实数据。

作为在南宁做了10年建站的老兵，我见过太多因为安全疏忽导致网站瘫痪、客户投诉、甚至被监管通报的案例。今天不聊虚的，直接讲怎么用最基础的免费工具，把常见的Web漏洞堵死。针对后端初学者，我会把技术细节拆解到代码级别，让你看得懂、用得起来。

威胁场景：你的网站正在被扫描

别以为只有大公司才会被盯上。小型企业官网、独立商城，因为防御薄弱，反而是黑客的“软柿子”。

常见的攻击场景有三类：

  1. 自动化扫描：黑客使用Nmap、SQLMap等工具，对IP段进行批量扫描，寻找开放的端口和已知漏洞。
  2. SQL注入：通过用户输入框（如登录、搜索）注入恶意SQL语句，窃取数据库内容。
  3. 文件上传漏洞：利用CMS系统或自定义上传接口，上传WebShell，获得服务器控制权。

南宁很多中小企业使用WordPress、Discuz!等开源CMS，这类系统更新不及时，漏洞公告一出，当天就会被利用。我上个月刚帮一家南宁的建材公司处理，他们的网站被植入了挖矿脚本，CPU占用率100%，网站响应极慢，客户投诉电话被打爆。

关键点：攻击不是针对你，而是针对你的漏洞。没有绝对安全的系统，只有相对安全的配置。

漏洞原理：为什么你的代码会出事

以最常见的SQL注入为例。假设你的登录验证代码是这样的：

// 危险的代码示例
$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($conn, $sql);

如果用户输入admin' OR '1'='1，SQL语句变成：

SELECT * FROM users WHERE username='admin' OR '1'='1' AND password=''

由于'1'='1'恒为真，密码验证被绕过，admin账号直接登录。这就是经典的SQL注入。

再看文件上传漏洞。如果你的PHP代码只检查文件扩展名：

// 有风险的上传逻辑
if (pathinfo($_FILES['avatar']['name'], PATHINFO_EXTENSION) == 'jpg') {move_uploaded_file($_FILES['avatar']['tmp_name'], 'uploads/' . $_FILES['avatar']['name']);
}

攻击者可以上传shell.php.jpg，再配合其他漏洞执行，或者利用IIS/NGINX配置错误直接解析执行。

核心问题：信任用户输入、缺乏输入验证、依赖前端校验、使用过时的库和框架。

防护方案：用免费工具堵住漏洞

不用买昂贵的WAF，用开源免费工具就能搞定80%的防护。

1. 参数化查询防SQL注入

使用预处理语句（Prepared Statements），将SQL结构与数据分离。

// 安全的代码示例
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

这样，无论用户输入什么，都只作为数据传入，不会被解析为SQL指令。

2. 文件上传白名单+重命名

不要只查扩展名，要查MIME类型，并重命名文件。

// 更安全的上传逻辑
$allowed_mime = ['image/jpeg', 'image/png'];
$ext = pathinfo($_FILES['avatar']['name'], PATHINFO_EXTENSION);
$mime = mime_content_type($_FILES['avatar']['tmp_name']);if (!in_array($mime, $allowed_mime) || !in_array($ext, ['jpg', 'jpeg', 'png'])) {die('Invalid file type');
}$new_name = uniqid() . '.' . $ext;
move_uploaded_file($_FILES['avatar']['tmp_name'], 'uploads/' . $new_name);

同时，在服务器配置中禁止uploads目录执行PHP：

# Nginx配置示例
location ~* ^/uploads/ {php_admin_value engine off;
}

3. 部署免费WAF：ModSecurity + OWASP Core Rule Set

在Apache或Nginx前加一层ModSecurity，使用OWASP免费的核心规则集，能拦截大部分常见攻击。

安装ModSecurity（Ubuntu示例）：

sudo apt-get install libapache2-mod-security2
sudo a2enmod security2

下载OWASP Core Rule Set并配置：

cd /etc/modsecurity/crs
sudo git clone https://github.com/coreruleset/coreruleset.git
sudo cp coreruleset/crs-setup.conf.example crs-setup.conf

修改crs-setup.conf，设置检测模式为阻止：

SecRuleEngine On
SecDefaultAction "phase:1,log,auditlog,pass"

重启Apache：

sudo systemctl restart apache2

这样，所有经过Apache的请求都会被ModSecurity检查，恶意请求会被记录并阻止。

检测与修复：怎么发现被黑了

网站被黑后，不要慌，按以下步骤排查：

  1. 查看服务器日志：

    • Apache：/var/log/apache2/access.log 和 error.log
    • Nginx：/var/log/nginx/access.log 和 error.log 搜索403、404、500等异常状态码，关注高频IP。

  2. 检查文件修改时间：

    find /var/www/html -type f -mtime -7

    查看最近7天内修改的文件，重点看是否有陌生的.php文件。

  3. 数据库备份恢复： 如果数据库被篡改，立即恢复最近备份，并重置数据库密码。

  4. 清理恶意代码： 删除所有未知文件，检查.htaccess、wp-config.php等关键文件是否被注入代码。

  5. 更换所有密码： 包括数据库、FTP、SSH、管理员账号。建议使用强密码+SSH密钥登录。

注意：如果网站被植入后门，仅删除文件可能不够，需要全盘查杀。建议使用ClamAV等免费杀毒工具扫描。

sudo apt-get install clamav clamd
sudo freshclam
sudo clamscan -r /var/www/html/

安全加固清单：上线前必查10项

在网站上线前，对照以下清单逐项检查，确保基础安全：

检查项 操作建议 工具/方法
1. 禁用目录浏览 禁止访问无index文件的目录 Nginx/Apache配置
2. 隐藏服务器版本 不暴露Nginx/Apache版本号 server_tokens off
3. HTTPS强制跳转 所有HTTP请求重定向到HTTPS SSL证书 + 301重定向
4. 安全响应头 添加X-Frame-Options、X-Content-Type-Options等 Nginx/Apache配置
5. 最小权限原则 Web服务用户不应有root权限 user www-data
6. 定期更新 CMS、插件、PHP版本及时更新 自动更新脚本
7. 备份策略 每日数据库备份，每周全站备份 cron + rsync
8. 监控告警 监控CPU、内存、磁盘、异常登录 Prometheus + Grafana
9. 防火墙规则 仅开放80、443、22端口 UFW/iptables
10. 代码审计 上线前对自定义代码进行安全审查 SonarQube/手动

南宁很多企业忽略第10项，认为“能用就行”。但安全是动态的，代码上线后仍需定期审计。建议使用免费静态分析工具如SonarQube，自动检测代码中的安全缺陷。

最后提醒：安全不是做一次就完事，是持续的过程。每月检查一次服务器日志，每季度做一次漏洞扫描，保持对最新安全公告的关注。

你踩过哪些建站的坑？评论区交流。