网站主动防护

你是不是刚花几天搭好的个人博客、二手交易小站，或者给亲戚做了个展示站，结果刚上线一周，后台就炸了？要么几千条垃圾评论刷爆留言区，要么后台密码被暴力破解，要么更糟，站被挂不明链接直接被搜索引擎降权？别慌，这篇是我做了10年网站运营踩出来的实招，全是不用花钱、照着就能做的主动防护方法，能帮你把90%的恶意攻击挡在门外，不用求人也不用懂复杂技术。

一、先焊死基础防线：把能改的漏洞全堵上

1. 改非默认端口，别给黑客送“地图”

很多新手刚搭完站，用的都是服务器默认端口，比如后台8888、远程22、数据库3306。黑客的扫描工具第一时间就会扫这些默认端口，相当于你把家门钥匙挂在门口。别用默认端口，比如把后台端口改成12347、远程端口改成22222，改完记在私人备忘录里，别写在网站注释里。举个例子：我朋友改了后台端口后，之前每天1000次的暴力破解请求，直接变成了0，省了好多事。
避坑提醒：改完端口后先重启面板，别直接关旧端口，不然自己也登不上。

2. 卸无用插件，等于给窗户加防盗锁

你搭站时可能装了不少插件，比如云盘、评论、统计的，有些根本没用，但多余的插件就是黑客突破口。比如之前有个朋友装了个没用的文件上传插件，被黑客传了木马，整个站都没了。先列所有插件清单，把没用的、不用的全卸载，只留核心功能。比如你做展示站，就别装多余的社交分享插件，越少漏洞越少。

二、装个智能门岗：把90%的恶意访问拦在外面

1. 开免费WAF，不用花钱有专业防护

WAF说白了就是网站防火墙，能识别恶意请求、SQL注入这些常见攻击。不用买贵的，大部分云服务商都有免费版，比如阿里云、腾讯云的免费WAF，还有宝塔面板自带的防火墙都能用。开的时候别直接全拦截，先开“预警模式”跑72小时，把正常访问IP加白名单，再开“拦截模式”。举例子：我开了免费WAF后，每天拦截的恶意请求从几百变成几万，连后台暴力破解的都被直接挡了。
避坑提醒：别用网上的破解版WAF，容易带病毒，用官方免费版就够。

2. 改后台专属路径，让黑客找不到你家后门

所有网站后台默认路径都是/admin，这是公开秘密，黑客扫10个站有8个能扫到。把后台路径改成专属的，比如改成/我的小店后台，只要不是通用的就行。怎么改？用宝塔面板的话，打开→网站→设置→伪静态→添加规则，输入rewrite ^/后台(.)$ /admin/$1 break;，改完后，别人访问你的后台就得输你的专属路径，直接拦走90%的脚本扫描。

三、每天花10分钟巡检，别等出事才救火

1. 查访问日志，抓藏在暗处的恶意请求

服务器的访问日志就像网站的日记，能看到谁来访问、做了什么。不用懂代码，用宝塔的“日志管理”就能看：打开→网站→日志→访问日志，搜“POST”“404”这些关键词，如果发现有陌生IP重复发相同请求，比如一天刷100次注册，直接点“拉黑”就行。举个例子：上周我查日志，发现有100多个同一个机房的IP在刷留言，封了之后再也没出现过。

2. 每周手动测备份，别等坏了才想起

网站防护的最后一步是备份，但很多人开了自动备份就不管了。如果备份文件带木马，出事了也没用。每周抽10分钟手动测一次备份：下载备份文件，解压看看内容对不对，有没有陌生的恶意文件。举个例子：我之前有个站自动备份了1个月，结果上周中木马，发现备份早就带病毒，白存了；后来养成手动测备份的习惯，再也没踩过这个坑。

今天别放着不管，先做三件事：第一，改后台端口和专属路径；第二，开免费WAF跑72小时；第三，明天抽10分钟看日志。别等站被攻击了才急着找办法，毕竟网站是你花时间搭的，护好它才是最实在的。