服务器SQL注入拦截保姆级教程，小白看完也能直接防黑

你有没有过这种经历？好不容易搭了个小网站，不管是卖货、做展示还是放个人博客，刚有点流量，突然某天后台登不进去了，数据全被删了，甚至还被黑客留了言要你转比特币赎数据。查了半天运维日志，才知道是被SQL注入搞了。很多人一听见SQL注入就觉得是高大上的黑客技术，自己小白根本防不住，其实真不是。今天给你说的这几招，不用你懂复杂代码，看完照着做，就能把99%的SQL注入攻击拦在外面。

1. 先给服务器装个基础拦截盾，0基础5分钟搞定

这是成本最低、见效最快的防护方式，相当于给服务器装了个防盗门，黑客连门都摸不到。

• 用宝塔面板的直接开免费WAF就行

  直接在软件商店搜「宝塔防火墙」，免费版的功能对小站来说完全够用。装好之后找到SQL注入拦截的开关，直接拉到最高防护等级，一定要勾选「拦截后记录日志」的选项，后面有人搞事你能查到对方IP。举个例子，我朋友开的手工饰品小电商，开了这个之后，一周拦了300多次注入尝试，黑客连后台入口都没摸到。

  避坑提醒：开防护的时候别乱加白名单，除了你自己常用的办公IP，其他陌生IP一律不要放行，不然等于给黑客留了后门。

• 不用宝塔的装开源Nginx防护模块

  直接用开源的ngx_lua_waf模块，网上搜一键安装脚本，复制粘贴到服务器命令行回车就行，默认就开启了SQL注入拦截，不用改复杂配置。给你放个现成的一键安装命令，直接复制用就行：

  ```bash wget https://raw.githubusercontent.com/unixhot/ngx_waf/master/install.sh && chmod +x install.sh && ./install.sh ```

  装完记得重启Nginx才会生效，不会操作的搜对应服务器系统的重启命令，复制就行。

2. 给网站代码加二层过滤，从根上堵漏洞

服务器的防护是外层，要是你网站代码本身有漏洞，总有漏网之鱼能钻进来，所以这步也不能省。

• 所有用户输入的地方都做内容限制

  

  不管是登录框、搜索框、评论区，还是提交订单的入口，凡是用户能填内容的地方，都要限制输入规则。比如手机号只能填数字，用户名只能是字母加数字，直接禁止输入单引号、分号、union这些SQL常用的特殊字符和关键字。举个例子，SQL注入最常用的手段就是输入' or 1=1--绕开登录验证，你直接不让输单引号，他这招直接就废了。

• 别用拼接SQL的写法，全部用预编译语句

  说白了就是别把用户输的内容直接拼到SQL语句里。比如你用PHP写代码就用PDO预处理，Java用MyBatis的{}传参，哪怕你是半吊子开发者，也别图省事写拼接SQL。

  避坑提醒：别以为后台的输入框就不用防，之前有个站长就是后台的商品分类编辑没做过滤，黑客爬进后台直接注穿了整个数据库，所有用户信息全被卖了。

3. 定期扫漏洞+做容灾，哪怕被攻了也不慌

防护不是一劳永逸的，万一真有厉害的黑客攻破了外层，你也得留好后手，不至于损失惨重。

• 每月抽10分钟扫一次注入漏洞

  用免费的工具就行，比如AWVS的社区版，或者直接用在线的漏洞扫描平台，输你网站地址点一下开始扫描就行。扫出来的SQL注入漏洞会直接给你修复建议，扫出来的高危漏洞别拖，当天就修完。要是你自己不会改，花几十块钱找个兼职开发者就能搞定，比丢数据的成本低多了。

• 数据库定时自动备份，别存在同一台服务器

  你设置每天凌晨2点自动备份数据库，备份完自动传到你自己的阿里云OSS或者百度云盘里，备份文件一定要加密，别用默认的123456当密码。真要是运气不好被人注穿删库了，直接拿备份恢复就行，最多损失半天的数据，根本不用给黑客掏赎金。

其实SQL注入攻击的门槛特别低，网上随便搜个教程，小学生都能拿着工具扫站搞破坏。你别觉得自己的站小没人盯，现在黑产都是批量扫漏洞，逮到一个就薅一个。今天别拖，花10分钟把上面说的几步挨个过一遍：先开服务器WAF，再检查一遍网站的输入校验，最后把自动备份给配上。弄完你再睡觉都踏实，再也不用担心哪天起来数据全没了。