别把中危漏洞当耳旁风！踩过坑的老司机教你靠谱修复

咱先唠唠：中危漏洞到底是个啥“隐形小炸弹”

害，很多朋友（尤其是非技术岗的运营、小老板们）一听中危漏洞修复就头大：啥高危低危的，高危赶紧搞，中危不就是个小感冒吗？吃点板蓝根顶顶就完事儿了？

咱过来人得给你泼盆小凉水——别！听！那！些！瞎！胡！说！

我用个咱们楼下都懂的魔性梗给你掰扯：高危漏洞是什么？那是小区单元门直接被焊死了钥匙给偷扔垃圾桶底还倒了硫酸；低危呢？大概是门口感应灯坏了三天没人修，晚上回家有点晃眼但摸黑也能掏钥匙开门；那中危漏洞修复对应的中危漏洞呢？敲黑板！是你家厨房窗户插销坏了一半！

插销坏一半意味着啥？第一，小偷要是硬掰，稍微费点劲就能钻进来；第二，物业保洁阿姨偶尔可能不小心推开漏点缝（虽然人好不会偷，但隐私也是隐私啊）；第三，下雨刮风说不定就哐当晃荡，甚至漏雨泡了你家刚买的空气炸锅盲盒款！

上个月我帮楼下王哥的社区团购小程序排雷，就差点栽插销上——不对，差点栽中危漏洞上！

王哥那小程序本来卖卤味卖得风生水起，每天流水小两万，结果某天晚上，有个自称“兼职大学生赚零花钱”的人加王哥微信，说“哥你小程序有个问题，能看到后台的用户手机号列表和部分没加密的收货地址，我帮你补补？给500就行”。

王哥一开始以为是诈骗，直接拉黑了，结果第二天早上翻后台，看到有三个连续的匿名手机号（其实是网络虚拟号爬的）在同一个时段刷了20多单，但每单都是0.01元，留的地址全是“王哥卤味店老板是大傻子”——王哥直接瘫在自家店里啃了三个卤蛋才缓过来。

赶紧找我！我翻了翻代码，果不其然，是个典型的SQL注入中危漏洞！SQL注入听过吧？就像楼下超市查库存的本子，收银员本来是查“今天进了多少卤鸭翅”，你要是在本子上乱涂“今天进了多少卤鸭翅/老板银行卡密码”，那个傻愣愣的库存系统（对，有些老版本的开源CMS真的很傻）说不定就把老板的银行卡密码给报出来了——不过王哥这个没那么夸张，属于“本子能翻后面几页会员登记表，但还没到翻保险柜钥匙的程度”，也就是典型的中危漏洞。

那时候才意识到：原来中危漏洞修复不是小事！不能再当耳旁风晃荡了！赶紧给王哥修，修完顺便给他做了个全面的漏扫，又发现了俩XSS跨站脚本中危漏洞——就像超市查库存的本子，你在上面贴了个二维码，别人一扫直接弹出个蹦迪广告，关都关不掉，而且还能偷偷存下别人扫本子时的手机相册权限！

从那天起，我就成了王哥嘴里的“中危漏洞救星卤鸭翅终身免费吃员”——对，这就是土味正能量！只要你重视中危漏洞修复，说不定就能赚个终身免费的零食吃！

魔性三步走：普通人也能上手的中危漏洞修复入门指南

肯定有人说了：“老司机老司机，我又不是程序员，看不懂代码也不会用工具，怎么搞中危漏洞修复啊？难道只能花大价钱请人？”

别慌别慌！踩过坑的我给你总结了普通人也能上手的中危漏洞修复魔性三步走，不用啃代码不用掉头发，跟着做就行！

第一步：别瞎搞开源程序/插件！先给它们“穿上安全裤”

楼下王哥的小程序为啥会有中危漏洞？就是因为贪便宜买了某宝9块9的“社区团购万能开源CMS”，还瞎装了一堆不知道哪里来的“0门槛抽奖插件”“0门槛积分兑换插件”——那些插件的开发者是谁？会不会有后门？会不会有没补的中危漏洞？根本没人知道！

所以第一步也是最重要的一步：普通人搞网站搞小程序，千万千万不要贪便宜！用正规的开源程序！比如做博客用WordPress，做电商用Shopify、Magento开源版（新手建议用Shopify SaaS版，自带安全裤升级功能），做社区团购用微盟、有赞这种正规的SaaS平台——正规平台会定期给你做安全裤升级，也就是自动帮你做中危漏洞修复、高危漏洞修复，根本不用你操心！

哦对了，就算用了正规的开源程序，也别瞎装插件！WordPress的插件库里虽然大部分是好的，但也有不少带中危漏洞的！装插件前先看看三个指标：第一个是下载量，低于10万的尽量别碰；第二个是更新时间，超过半年没更新的肯定有鬼，说不定开发者都忘了补中危漏洞；第三个是评分，低于4.5星的直接拉黑！

还有啊！不管用啥正规程序啥正规插件，一定要定期更新到最新版本！这就是最基础的中危漏洞修复！就像你手机上的APP，更新提示弹出来别老点“稍后提醒我”“忽略此版本”，说不定那个更新就是在补某个能让你手机相册、通讯录泄露的中危漏洞！

我之前有个同事，做个人博客用的是WordPress，更新提示弹出来整整半年，她嫌麻烦没更，结果某天早上起来博客首页全是“澳门新葡京上线啦”的蹦迪广告——就是因为博客里的某个评论插件有个没补的XSS跨站脚本中危漏洞，被黑客盯上给黑了！

后来她哭唧唧花了2000块钱请人做了中危漏洞修复、博客内容恢复，还买了个终身免费的WordPress安全插件，从那以后只要更新提示一弹出来，她第一时间就点“立即更新”——土味正能量又来啦！重视定期更新，就是重视自己的钱包和隐私，就能少花冤枉钱多睡安稳觉！

第二步：给自己的网站/小程序“装个防盗门猫眼”——免费漏扫工具搞起来

刚才说的正规SaaS平台虽然会自动帮你做中危漏洞修复，但万一你是个硬核新手，非要自己搭开源程序玩呢？那就得给自己的网站/小程序“装个防盗门猫眼”——也就是定期用免费的漏扫工具扫一遍！

免费漏扫工具不用搞太复杂的，新手推荐用这三个：第一个是360网站安全卫士（没错就是那个你电脑上天天弹垃圾广告但安全裤还是挺靠谱的360），专门给个人站长和小公司做的，操作简单，扫一遍就能告诉你有没有中危漏洞、高危漏洞，还会给你简单的中危漏洞修复建议；第二个是腾讯御点网站漏洞扫描，腾讯大厂出品，扫的范围比较广，也会自动生成修复报告；第三个是OWASP ZAP，这个是全球黑客和安全专家都在用的开源漏扫工具，稍微有点复杂，但新手跟着B站上的教程学10分钟就能上手，而且功能超级全，免费的！

扫完之后怎么办？如果是高危漏洞，别犹豫，赶紧找专业的安全工程师；如果是中危漏洞，先看看漏扫工具给的修复建议——大部分中危漏洞修复建议都是“更新到最新版本”“关闭不必要的端口”“加强密码复杂度”，普通人跟着做就能搞定！

比如加强密码复杂度——很多人给自己的网站后台或者小程序后台设的密码都是“123456”“admin123”“wangge123”（楼下王哥一开始设的就是这个！被我骂了一顿改成了“WangGe@LuYaChi1992”——加上大写字母、小写字母、特殊符号、生日年份，黑客就算用穷举法猜一百年也猜不出来！）

再比如关闭不必要的端口——就像你家里的门窗，除了每天要走的正门，其他窗户、阳台门都要插好销关好，对吧？网站/小程序的端口也是一样，除了每天要用的80端口（HTTP）、443端口（HTTPS），其他端口比如21端口（FTP）、3306端口（MySQL数据库），如果不用的话一定要关闭或者限制IP访问！这也是基础的中危漏洞修复！

第三步：定期给自家的“房子”做个“大扫除”——备份备份再备份

土味正能量第三条：不怕一万就怕万一！就算你做了第一步第二步，就算你已经穿了最厚的安全裤装了最好的防盗门猫眼，万一黑客还是偷偷钻进来了呢？万一中危漏洞修复不及时数据被偷了或者被删了呢？

所以第三步：定期给自家的网站/小程序做个“大扫除”——也就是备份备份再备份！

备份要遵循“321原则”——3份备份（本地电脑一份、云端网盘一份、第三方备份服务商一份）、2种存储介质（硬盘和网盘不能是同一家的！比如本地用希捷硬盘，云端用百度网盘，第三方用阿里云OSS）、1份异地备份（比如本地在上海，云端在北京，第三方在广州，就算上海地震了硬盘坏了，北京和广州的备份还在！）

备份的频率也要注意：如果是每天都有新内容新订单的网站/小程序，比如王哥的社区团购，一定要每天自动备份；如果是每周更一次的个人博客，每周自动备份就行；如果是偶尔更一次的企业官网，每月自动备份就行！

哦对了！备份完之后一定要定期检查备份是否有效！不能光备份不检查，万一备份的文件是损坏的呢？那就白搭了！我之前有个朋友，做电商网站用的是开源版Magento，每天都自动备份到本地硬盘，结果某天硬盘坏了，想恢复的时候才发现备份的文件全是损坏的——哭唧唧花了5000块钱请人做数据恢复，还只恢复了80%的内容，损失了好多老客户！

从那以后，她不仅遵循“321原则”备份，还每周五下午都花10分钟检查备份是否有效——土味正能量第四条：定期检查备份，就是给自己买了个“后悔药”！就算中危漏洞修复不及时，就算数据被偷了被删了，只要备份有效，就能一键恢复，啥损失都没有！

最后再唠五毛钱的：中危漏洞修复真的不能拖！

害，说了这么多，核心就是一句话：别把中危漏洞当耳旁风！中危漏洞修复真的不能拖！

刚才说的楼下王哥，后来不仅听了我的话用了正规的微盟SaaS平台，还每天检查更新提示，每周用360网站安全卫士扫一遍，每天自动备份到百度网盘和阿里云OSS，每周五检查备份是否有效——现在他的社区团购小程序卖卤味卖得更火了，每天流水小五万，还给我涨了卤鸭翅终身免费的特权，从每天只能吃三个变成了每天能吃五个！

刚才说的做个人博客的同事，现在不仅定期更新WordPress和插件，还买了终身免费的WordPress安全插件，每周用OWASP ZAP扫一遍，每周自动备份到希捷硬盘、百度网盘和腾讯微云——现在她的个人博客粉丝涨了10万，还接了好多广告，赚的钱比上班还多！

刚才说的做电商网站的朋友，现在不仅遵循“321原则”备份，还请了专业的安全工程师每月做一次全面的安全检测，做一次中危漏洞修复——现在她的电商网站每天流水小十万，再也没被黑客黑过！

土味正能量压轴：重视中危漏洞修复，就是重视自己的事业，重视自己的钱包，重视自己的隐私！从今天开始，给你的网站/小程序“穿上安全裤”“装个防盗门猫眼”“定期做个大扫除”吧！