前言

网站安全是每个站长必须重视的问题。本文将从服务器安全、网站程序安全、数据备份等多个方面，教你全方位保护网站安全。

一、服务器安全

1. 修改默认端口

SSH默认端口22容易被扫描攻击，建议修改：

# 编辑SSH配置
vi /etc/ssh/sshd_config
# 修改Port为其他端口，如2222
Port 2222
# 重启SSH
systemctl restart sshd

2. 禁用root登录

# 编辑SSH配置
vi /etc/ssh/sshd_config
# 修改为no
PermitRootLogin no
# 创建普通用户并授予sudo权限
useradd admin
passwd admin
usermod -aG wheel admin

3. 配置防火墙

# 开启防火墙
systemctl start firewalld
systemctl enable firewalld
# 开放必要端口
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload

4. 安装fail2ban防暴力破解

yum install fail2ban -y
systemctl start fail2ban
systemctl enable fail2ban

二、网站程序安全

1. 及时更新

• 定期更新网站程序、插件、主题到最新版本
• 及时修补已知安全漏洞
• 不要使用来源不明的插件和主题

2. 强密码策略

• 管理员密码使用12位以上，包含大小写字母、数字、特殊字符
• 不同网站使用不同密码
• 定期更换密码
• 开启两步验证（2FA）

3. 限制后台访问

• 修改后台登录路径
• 限制后台访问IP
• 登录失败多次锁定账号

4. 文件权限设置

# 目录权限755
find /www/wwwroot/你的网站 -type d -exec chmod 755 {} \;
# 文件权限644
find /www/wwwroot/你的网站 -type f -exec chmod 644 {} \;
# 配置文件600
chmod 600 /www/wwwroot/你的网站/config.php

三、数据库安全

1. 修改数据库端口

MySQL默认端口3306，建议修改或限制外网访问。

2. 强密码

数据库root密码使用强密码，不要使用弱密码。

3. 限制远程访问

# 只允许本地访问
bind-address = 127.0.0.1

4. 定期备份

# 手动备份
mysqldump -u root -p 数据库名 > backup.sql
# 定时备份（crontab）
0 3 * * * mysqldump -u root -p密码 数据库名 > /backup/$(date +\%Y\%m\%d).sql

四、HTTPS安全

1. 强制HTTPS

所有HTTP请求跳转到HTTPS，确保数据传输加密。

2. 配置安全头

在Nginx中添加：

add_header X-Frame-Options "SAMEORIGIN";
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options "nosniff";
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";

五、日常安全维护

1. 定期检查

• 定期查看访问日志，发现异常访问
• 定期检查文件变化，发现被篡改的文件
• 定期扫描病毒和木马

2. 监控工具

• 安装服务器监控工具（如Zabbix、Prometheus）
• 配置告警，异常情况及时通知
• 监控CPU、内存、磁盘、网络使用情况

3. 应急响应

• 制定安全事件应急预案
• 被攻击后及时断开网络，保留证据
• 及时修补漏洞，清理后门
• 必要时寻求专业安全公司帮助

六、常见攻击与防护

1. SQL注入

• 使用参数化查询/预编译语句
• 对用户输入进行严格过滤和验证
• 使用ORM框架
• 最小权限原则配置数据库账号

2. XSS跨站脚本

• 对用户输入进行HTML转义
• 使用Content-Security-Policy
• 过滤危险标签和属性
• HttpOnly标记Cookie

3. CSRF跨站请求伪造

• 使用CSRF Token验证
• 验证Referer头
• 敏感操作需要二次确认
• SameSite Cookie属性

4. DDoS攻击

• 使用CDN和WAF防护
• 限制单IP请求频率
• 流量清洗服务
• 冗余架构设计

总结

网站安全是一个持续的过程，没有绝对的安全，只有相对的安全。做好基础安全防护，定期检查更新，及时修补漏洞，就能有效防范大部分攻击。

提示：安全防护要趁早，不要等被攻击了才重视。定期备份是最后一道防线，一定要做好！