网站防攻击怎么做？从口令到备份的五道防线

做网站防攻击，先要知道绝大多数攻击来自扫描器批量撞站，撞上的都是没设防的站。弱口令、老版本程序和没做备份，这三样占了大半事故。防线不需要多高深，按下面五道逐条设好，绝大多数攻击在门外就挡住了。

一、**道防线：口令和权限

后台和FTP的口令、数据库密码都要换掉默认值，服务器登录也一并改，长度12位以上，不同系统不共用同一套。人员离职、外包到期，账号权限要跟着收回。账号权限日常怎么收、收哪些，之前写过一篇 target="_blank"，可以配合着看。

二、第二道防线：程序和补丁

用CMS的把内核和插件升到当前稳定版，停用不用的插件和主题。自己开发的程序，表单提交处加上验证码和过滤，上传功能限制文件类型。补丁不追新，要的是别让已知漏洞在你站上活着。

三、第三道防线：备份要做能恢复的那种

很多站有备份，出事时才发现备份和程序在同一个服务器上，被一锅端。正确做法是程序和数据库定期备份导出，存到另一台机器或对象存储，保留至少30天内的多个版本。每月做一次恢复演练，确认备份真能还原。

四、第四道防线：访问控制和限流

后台地址改掉默认路径，登录加上验证码或二次验证。服务器防火墙只开放必要端口，后台可限定办公网IP访问。对明显的扫描行为做频率限制，同一IP短时间高频请求直接拦截。

五、第五道防线：监控和告警

文件被篡改、出现陌生管理员和搜索结果被劫持，这些都要尽早知道。站长平台的消息提醒开着，服务器上配简单的文件变更监控，发现异常当天处理，拖一周损失翻几倍。

六、五道防线的优先级

七、从哪个先做起

预算和时间有限就按表从上往下做，口令和备份两天内能落完，性价比**。防攻击的目标是让攻击者觉得你这里成本高，转向更好下手的目标，做到这一步网站就安全了绝大多数。