别等个人小站变垃圾站跳板！赶快来搞懂网站防入侵

前情提要：我的“摸鱼作品站”差点被送进ICU

说起来你们可能不信，上个月我那只有几十粉、专门放我瞎画猫狗表情包的摸鱼小站，差点连裤衩子都被扒了——哦不对，差点被当成免费的“垃圾场运输车”，也就是黑客嘴里的肉鸡！那天晚上我正蹲坑刷评论呢，突然阿里云发来17条红色告警，吓得我屎意全无，赶紧爬起来查，好家伙后台插了100多条博彩外链，日志里还有一堆看不懂的“代码外星语”在疯狂蹦跶。

后来花了3天找懂行的朋友救场（人家还收了我三杯珍珠奶茶加半份炸鸡排的辛苦费），才把这烂摊子收拾干净。朋友临走前拍着我的肩膀说：“你这站连个锁头都没有，门都大敞四开，黑客不偷你偷谁？赶紧把网站防入侵搞起来！”所以今天，我就以“踩过博彩坑、差点丢小站的过来人”身份，给大家唠唠网站防入侵那点事儿——这次保证不整那些听不懂的天书，全用咱们普通人的土味儿梗+干货！

网站防入侵第一步：先给你的小破屋装个“防撬指纹锁”

懂行的朋友说，我之前的摸鱼站密码，简直就是小区保安室旁边的邮箱密码——默认admin/admin123！这不是等着小偷推门就进吗？所以啊，网站防入侵的第一关，绝对是改掉所有默认密码，换成“防扒三层衣”的强密码！

啥叫“防扒三层衣”的强密码？别整那些生日、手机号啥的，人家黑客随便用“字典爆破”工具（就像拿着小区所有住户的钥匙挨个试锁），半小时就能试出来。听我的，密码得满足三个条件：一是够长，至少16位起步；二是够杂，大小写字母、数字、特殊符号（比如@￥%，别用和空格，有些程序不支持）全给我整上；三是够“私人”，但不是生日手机号这种人人都能查到的，比如可以用“去年冬天在楼下烤红薯被烫了3个泡花了25块钱”简化成“Qudtzlxkhst3gp25￥”——是不是够杂够长够私人？

哦对了，还有个更绝的！如果你的网站有条件，一定要装个双因素认证（2FA）！这玩意儿就像指纹锁旁边再加个防盗门链，就算密码被偷了，没有你手机里的验证码，黑客也进不来！阿里云、腾讯云这些云服务商都有免费的2FA插件，直接装上就行，别嫌麻烦，麻烦总比小站变垃圾场好！

网站防入侵第二步：再给你的小破屋围上“带刺的电子篱笆”

光有门锁还不够，有些黑客不乐意试密码，直接翻窗户撬墙脚——哦不对，直接找你网站程序或者服务器的漏洞钻！所以啊，网站防入侵的第二关，就是围上带刺的电子篱笆，也就是防火墙和WAF！

啥叫防火墙？就像你家小区门口的保安大叔，检查所有进出的车辆和人员，可疑的直接拦下来。阿里云、腾讯云这些云服务商都有免费的基础防火墙，一定要打开！而且要把基础配置调好：比如只开放你网站需要用到的端口（比如HTTP用80，HTTPS用443），其他乱七八糟的端口（比如SSH默认22，如果你不是经常远程登录服务器，可以改成其他随机端口，比如22334）全给我关掉！这就像小区只留正门和后门，其他翻墙挖地道的小路全给堵死！

啥又叫WAF？哦，Web应用防火墙，就像专门站在你家门口检查快递的保安，专门拦截那些伪装成正常访客的垃圾邮件、SQL注入、XSS攻击——哦对了SQL注入和XSS攻击是什么鬼？用土味儿梗说就是：SQL注入就像小偷拿着“万能门禁卡申请表”骗保安室填，保安室填完直接把小区所有钥匙给他；XSS攻击就像小偷在小区公告栏贴了一张带病毒的海报，路过的人看一眼就会自动把自家钥匙拍照发给小偷！

那WAF怎么选？云服务商也有免费的基础版，虽然功能不如付费版全，但对付咱们这种几十粉几百粉的小破站绝对够用！付费版的话，等你小站流量过万、有广告收入了再考虑也不迟——过来人的忠告，别一开始就乱花钱，先把免费的羊毛薅秃再说！

网站防入侵第三步：最后给你的小破屋装个“24小时监控录像头”

门锁有了，电子篱笆有了，还得有个“24小时监控录像头”，也就是网站日志和入侵检测系统（IDS）！不然就算黑客进来了，你连他什么时候进来的、偷了什么东西都不知道！

网站日志是什么？就像你家小区门口的监控录像，记录了所有进出小区的车辆和人员的时间、车牌号、长相。不管你用的是WordPress、Typecho还是自己写的程序，一定要开启网站日志！而且要定期（比如每天晚上睡觉前或者每周一早上）查看一下，看看有没有可疑的IP地址（比如来自国外的、访问频率特别高的、专门访问后台登录页面的），如果有，直接把它拉黑！

入侵检测系统（IDS）又是什么？就像监控录像旁边的智能报警器，一旦发现有可疑人员翻墙撬墙脚，就会立刻给你打电话、发短信、发邮件报警！云服务商也有免费的基础版IDS，一定要打开！而且要把告警通知设置好，比如设置成只要发现红色告警，就立刻给你的微信和手机同时发消息——别嫌烦，烦总比小站被偷光了才知道好！

网站防入侵第四步：没事就给你的小破屋“大扫除+换锁芯”

门锁有了，电子篱笆有了，监控录像有了，还得没事就给你的小破屋“大扫除+换锁芯”，也就是定期更新网站程序、主题、插件和服务器系统！

为啥要定期更新？因为不管是网站程序、主题、插件还是服务器系统，都会有漏洞！就像你家的锁芯用久了会生锈，小偷很容易撬开；或者你家的窗户玻璃有裂缝，小偷很容易钻进来！更新就是给你的锁芯换个新的、给你的窗户玻璃补个裂缝！

那怎么更新？WordPress、Typecho这些主流程序都有自动更新功能，一定要打开！主题和插件的话，别随便用那些不知名的、破解版的！不知名的主题和插件可能本身就带病毒，破解版的主题和插件更是如此——过来人的血的教训！一定要用官方的或者是经过认证的主题和插件！服务器系统的话，比如Linux的CentOS、Ubuntu，也要定期用命令更新一下：

``` CentOS系统更新命令 yum update -y Ubuntu系统更新命令 apt update && apt upgrade -y ```

这条命令就像“一键大扫除+一键换锁芯”，非常好用！不过更新之前一定要备份！一定要备份！一定要备份！重要的事情说三遍！不然更新失败了，你的小站可能直接就没了！备份的话，云服务商也有免费的自动备份功能，一定要打开！而且要手动备份一份到自己的电脑或者云盘里——双份备份，双重保险！

结尾：网站防入侵不是一劳永逸的，是一辈子的事情

好了，今天的唠嗑就到这里！总结一下，网站防入侵的核心就是：装个防撬指纹锁（改掉默认密码+装双因素认证），围上带刺的电子篱笆（打开基础防火墙+装WAF），装个24小时监控录像头（开启网站日志+装IDS），没事就给你的小破屋“大扫除+换锁芯”（定期更新+双份备份）！

可能有些朋友会说：“我这小破站只有几十粉，谁会偷啊？”别这么想！黑客才不管你小站有多少粉，只要你的站有漏洞，只要你的站能当免费的“垃圾场运输车”，他就会偷！过来人的血的教训，你们一定要听！

祝大家的小破站都平平安安、红红火火！网站防入侵搞起来！网站防入侵搞起来！网站防入侵搞起来！