提高網(wǎng)站安全性的解決辦法
你的網(wǎng)站為什么被黑了？經(jīng)過網(wǎng)絡(luò)安全公司Sucuri的安全專家的調(diào)查，有大約68%的被黑網(wǎng)站存在著隱藏的后門backdoor腳本。這些后門腳本就是為入侵者提供的秘密通道，即使管理員改變安全口令或更新了安全補(bǔ)丁，只要沒有完全的清理整個(gè)系統(tǒng)，沒有發(fā)現(xiàn)這個(gè)隱藏的后門，隱患依舊存在。
從他們發(fā)布的網(wǎng)站被黑報(bào)告2016Q1版中可以看到，全部取樣的11485個(gè)網(wǎng)站中，有4900個(gè)網(wǎng)站發(fā)現(xiàn)了后門。
在這些被入侵的網(wǎng)站中，后門是最嚴(yán)重的問題，其次是惡意軟件（通過瀏覽器端的代碼進(jìn)行掛馬攻擊drive-bydownload），占比60%。
第三名是SEO垃圾SEOspam，大約32%的網(wǎng)站存在該問題。SEO垃圾通常會(huì)秘密嵌入到頁面中，瀏覽者看不見，而對于搜索引擎的爬蟲可見。
掛馬攻擊和SEO垃圾也很流行
SEO垃圾可以幫助惡意攻擊者提升其網(wǎng)站的搜索引擎排名，而對被感染的網(wǎng)站來說，則會(huì)受到搜索引擎的懲罰和排名下降。
這些受益的惡意攻擊者通常會(huì)將SEO垃圾放到感染網(wǎng)站的源代碼中、數(shù)據(jù)庫中，或者通過.htaccess重定向?qū)崿F(xiàn)。多數(shù)情況下，SEO垃圾被用在藥品方面，也有給成人內(nèi)容或在線游戲提供的。
與去年相比，后門腳本比例略有降低，SEO垃圾有小幅提升，而惡意軟件感染則相較前些年增幅最大，從2014年的41%增加到了2016年的60%！作為對比，后門腳本則從2014年的59%到2015年的73%，現(xiàn)在回落到68%；SEO垃圾從20%到28%，到了2016年就增加到了28%。
首先打開你的網(wǎng)站，點(diǎn)擊瀏覽器右鍵【查看網(wǎng)站源代碼】，不懂代碼的朋友可能有點(diǎn)暈，略懂代碼的朋友均能夠清楚的看到自己的網(wǎng)站是否存在黑鏈接，不懂代碼的朋友沒關(guān)系，仔細(xì)看代碼，你可以看到代碼里面是否存在其他網(wǎng)站的鏈接（友情鏈接除外），如果存在其他網(wǎng)站的鏈接，并且不是自己有意加上的鏈接，那么說明這些鏈接是被黑客掛上去的。如下圖所示：
通常遇到這樣的情況，大多數(shù)黑客是通過后臺(tái)、FTP更改的代碼，所以最好的處理方法是刪除這些黑鏈接，并且更改后臺(tái)和FTP帳號(hào)密碼。
網(wǎng)站被上傳文件檢測及處理方法
還有一部分網(wǎng)站，由于上時(shí)間未打理，被黑客上傳關(guān)于非法的文件，像博彩行業(yè)基本都是通過這一類的方法去做SEO優(yōu)化的，但是黑客剛剛上傳的時(shí)候，可能上傳的并不是根目錄，連我們自己都察覺不出來，所以檢測起來就非?？嚯y，別擔(dān)心我這里有方法檢測。
打開你網(wǎng)站的robots文件，查看robots文件中的允許被抓取的文件夾（Allow為允許抓?。?，通常情況下，我們的欄目是不需要在robots中允許被抓取，因?yàn)槲覀兙W(wǎng)站的首頁有直接鏈接到欄目，而黑客不會(huì)在你網(wǎng)站首頁掛一個(gè)這樣的鏈接，那只有寫在robots文件中，所以如果你的robots文件中出現(xiàn)了某一個(gè)允許被抓取的欄目，你應(yīng)該試著打開那個(gè)欄目內(nèi)容，是否是你自己制作的內(nèi)容，或者頁面中是否存在非法內(nèi)容。如下圖所示：
當(dāng)然，也不一定非要寫到robots里面去，可能會(huì)寫到sitemap地圖里面，但我們還可以通過site工具查詢，查詢收錄的新頁面都有哪些，是否存在垃圾頁面或者其他頁面。
網(wǎng)站快照被劫持檢測和處理方法
在一個(gè)是我們的內(nèi)容明顯明顯是SEO的，但是百度收錄的卻是其他內(nèi)容，這說明了你的百度快照被劫持了，黑客主要是掌握了百度、360等搜索引擎的IP，然后根據(jù)不同IP訪問不同的頁面，所以導(dǎo)致了自己的快照被劫持。
查詢的方法很簡單，打開搜索引擎site你的網(wǎng)站，從標(biāo)題、描述等基本信息可以看到是否與網(wǎng)站符合，同時(shí)也可以點(diǎn)擊【百度快照】按鈕，看一下，網(wǎng)站被百度抓取的內(nèi)容，是否與自己的內(nèi)容符合。
那么出現(xiàn)這一種情況如何解決呢，最快速的辦法就是打開自己快照被劫持的頁面，查看源代碼，然后找到快照劫持的JS（通常情況下都是以JS的形式劫持），實(shí)在看不懂的話，沒關(guān)系，那就使用【網(wǎng)站被黑檢測】工具，檢測后，對比一下前后的差距，如下圖所示：
當(dāng)然，還有黑客做的更離譜，拿下你的額FTP后，他們會(huì)在凌晨1-5點(diǎn)左右更換你網(wǎng)站的內(nèi)容，修改你網(wǎng)站的title和mate等標(biāo)簽，等到搜索引擎抓取以后，在把title和mate等標(biāo)簽修改回來，然后你的快照被劫持了，但是代碼卻沒有任何問題。如果你在代碼上實(shí)在找不到原因，唯一的解決辦法就是改后臺(tái)帳號(hào)密碼和FTP帳號(hào)密碼了。
小結(jié)：常規(guī)的網(wǎng)站被黑就是以上的幾個(gè)事情，還有部分網(wǎng)站被黑直接被毀掉，很少有這種情況出現(xiàn)的，可能是遇到新手黑客練手玩玩，對于這種線下，我們得做好以下幾個(gè)對策。
備份
以前我是每天備份一次，在后來每周備份一次，在后來就是半年看一次，現(xiàn)在都忘記了多久沒備份了，我建議數(shù)據(jù)庫每天備份一次，文件每周備份一次，如果你嫌麻煩，可以試著使用網(wǎng)站自動(dòng)備份工具。這里給大家介紹多備份工具！
第一步：打開【多備份工具】，注冊登錄，可直接使用QQ登錄，方便，也不需要記住帳號(hào)密碼啥的。
第二步：點(diǎn)擊右上角【添加】的按鈕，根據(jù)你的條件選擇文件備份或數(shù)據(jù)庫備份，兩個(gè)都需要備份的，這里一個(gè)一個(gè)來，如下圖所示：
互聯(lián)網(wǎng)給大家的生活帶來了極大的便利，但同時(shí)也充斥著各種不安全的因素，一不小心會(huì)上當(dāng)受騙，例如：高校網(wǎng)站被黑、政府網(wǎng)站被黑、很多網(wǎng)站被掛碼，被入侵。面對這一現(xiàn)象，我們該如何提高網(wǎng)站安全性呢？
古人有句話說的比較好，工欲善其事必先利其器，我們想要提高網(wǎng)站安全性，先要明白有那些因素會(huì)影響到網(wǎng)站的安全問題。
一、網(wǎng)站程序問題
很多網(wǎng)站的安全問題大多是由于網(wǎng)站程序存在漏洞，所以想要提高網(wǎng)站安全性，必須要選擇安全的后臺(tái)cms系統(tǒng)，若有能力可以自己去開發(fā)網(wǎng)站后臺(tái)，這樣安全性能得到極大的提高，若是從網(wǎng)上選擇一些免費(fèi)開源的源碼來做網(wǎng)站，需要注意以下兩點(diǎn)：
①不要選擇知名度不高的網(wǎng)站程序源碼，這類源碼一般無人去進(jìn)行程序的開發(fā)和維護(hù)，網(wǎng)站極易出現(xiàn)漏洞，被入侵的可能性大大增加。所以在選擇的時(shí)候，盡量選擇知名度較高的開源程序。
②選擇知名的建站CMS系統(tǒng)，如：DEDECMS、動(dòng)易CMS?、ECSHOP?等免費(fèi)開源程序，由于此類開源程序使用者較多，網(wǎng)站很容易出現(xiàn)新的漏洞，我們要根據(jù)后臺(tái)提示，及時(shí)的進(jìn)行更新，避免黑客對網(wǎng)站進(jìn)行攻擊。
二?、網(wǎng)站的空間/服務(wù)器
上面說完網(wǎng)站程序會(huì)影響到網(wǎng)站的安全性，其實(shí)網(wǎng)站在選擇空間時(shí)，也需要注意，網(wǎng)上有很多不知名的空間商給出的網(wǎng)站空間價(jià)格很低，部分用戶覺著便宜使用了，但往往這種便宜的空間，安全性極差。因?yàn)榭臻g/服務(wù)器需要專門的人員去進(jìn)行維護(hù)的，需要對服務(wù)器進(jìn)行配置，設(shè)置服務(wù)器文件的權(quán)限等等。
三、網(wǎng)站后臺(tái)路徑以及賬號(hào)密碼設(shè)置
借助小編的親身經(jīng)歷，以前幫一個(gè)客戶維護(hù)他的網(wǎng)站，發(fā)現(xiàn)他網(wǎng)站后臺(tái)路徑是/admin?賬號(hào)是admin?密碼是admin，這種網(wǎng)站即使后臺(tái)程序和空間再好，被入侵也是遲早的事，網(wǎng)站后臺(tái)的路徑不能直接大眾式的后臺(tái)路徑，賬號(hào)和密碼也盡量要用字母+數(shù)字+符號(hào)，所以提醒大家以后要在這方面多加注意。
說了那么多，對于如何提高網(wǎng)站安全性大家都有了一個(gè)初步的認(rèn)識(shí)吧？別慌，還有干貨給大家分享，看完下面的建議，那么你的網(wǎng)站安全性會(huì)有一個(gè)質(zhì)的提高。
1.?屏蔽網(wǎng)站源代碼
當(dāng)我們在瀏覽銀行的網(wǎng)銀時(shí)，您經(jīng)常會(huì)發(fā)覺您沒辦法在銀行網(wǎng)銀的界面里面使用鼠標(biāo)右鍵。這樣的主要目的是阻止客戶端通過右鍵?？淳W(wǎng)站的源代碼，這樣可以有效的防范網(wǎng)站客戶端代碼(如：HTML，Js，Css，Img)被拷貝等。
2.?過濾用戶輸入的內(nèi)容
過濾用戶的輸入內(nèi)容，這樣會(huì)相對有效的防范客戶端的?注入式攻擊和XSS攻擊等，提高網(wǎng)站安全性。
3.?使用參數(shù)化查詢
有時(shí)候?qū)蛻舳溯斎氲膬?nèi)容進(jìn)行匹配還不足以防范Sql注入，而使用參數(shù)化查詢可從根源上杜絕Sql注入。
4.?使用URL偽靜態(tài)
網(wǎng)站的網(wǎng)址中經(jīng)常帶有參數(shù)，動(dòng)態(tài)的參數(shù)往往會(huì)暴露了網(wǎng)頁之間的傳參關(guān)系，增加了不安全性。假設(shè)把動(dòng)態(tài)的參數(shù)重寫為偽靜態(tài)的，可隱藏動(dòng)態(tài)的參數(shù)，從而提高了網(wǎng)站安全性。
5.使用驗(yàn)證碼
驗(yàn)證碼的原理很簡單，是在服務(wù)器生成一段Session儲(chǔ)存驗(yàn)證碼中生成的圖片中的文字，而驗(yàn)證碼的圖片文字經(jīng)常是通過扭曲漸變等字符串。安全且復(fù)雜的驗(yàn)證碼使用可以有效的防范論壇的注冊機(jī)，發(fā)貼機(jī)還有一些密碼暴力破解器等對網(wǎng)站有危害的工具。
6.?系統(tǒng)記錄日志
包括服務(wù)器日志和Sql日志等，網(wǎng)站管理員可以通過日志中記錄的內(nèi)容查看客戶端在訪問當(dāng)前網(wǎng)站的行為，發(fā)現(xiàn)有一些破壞性的行為，可及時(shí)進(jìn)行更改。
7.?對用戶的ip進(jìn)行過濾
這種方式可以過濾掉一些不友好的訪客的ip地址，可以有效的阻止了拒絕服務(wù)攻擊等。
8.?使用ssl安全產(chǎn)品
我們平常在登錄注冊某些網(wǎng)站時(shí)，會(huì)讓輸入一些個(gè)人信息，網(wǎng)站可以考慮使用ssl加密，ssl采用公開密鑰技術(shù)，它為?TCP/IP?連接提供數(shù)據(jù)加密、服務(wù)器認(rèn)證、消息完整性以及可選的客戶機(jī)認(rèn)證。
0 Comments.