欢迎光临杨雨的个人博客站!

杨雨个人网站-杨雨个人博客-杨照佳

杨雨个人博客网站

关注互联网和搜索引擎的个人博客网站

首页 > 服务器 >

如何防止企业网站被攻击

发布时间:2016-07-30  编辑:杨雨个人博客网站   点击:   

普通的企业网站一般都是使用主流CMS建的,建好基本上就更新更新新闻,其他就不管了。况且现在黑客攻击的方式很多,被黑了都不知道。虽然一个企业站一天就几个IP,但如果黑客利用大数据批量攻击的话,一般会有意想不到的效果,一个站一天10IP,一万个站可就不是个小数据了。懒人站长的天下,主流的cms用的人多,大部分都是开源的,很容易被爆出漏洞,官方或者安全联盟什么的也会给出一些补丁,有些网站编辑也不知道补丁是怎么回事,又不知道或者不会及时的打补丁,就很容易被攻击,甚至有些专门研究CMS漏洞的,研究出来了就批量攻击,只有有意识的站长被攻击了以后提交漏洞相关平台才会出补丁。所以,网站安全的前提是,让他连庙门都摸不着,没错,就是让他找不到攻击入口!
最简单的方法如下:

1、找一台好的服务器(虚拟主机)

好一点的服务器就好比你有一个健康的身体就不容易生病一样,是网站安全的根本,而且好一点的服务器自带的防火墙都能拦截一些攻击。比如阿里云,自带各种防火墙,网站上什么webShell之类的木马都是能被拦截的。我的服务器用的也是阿里云的,之前有写过一篇《我为什么只用阿里云服务器》的文章,大家可以去看看我的配置,算下来很便宜。

2、使用CDN

CDN能有效的阻止别人接触服务器,让他庙门都摸不着。CDN设置很简单,把你的域名解析到他的节点上,然后在解析到服务器上,这样被人访问你的时候就访问到了你网站的html存在CDN提供商服务器上的缓存,而且一般CDN平台都会有分布到全国的节点,用户访问的时候能智能的让用户访问到离他最近的节点服务器,访问速度也有所提高,使用CDN以后,别人查你的IP就查不到真实IP了。
除了加速和掩藏IP外,CDN还能有效的减少DDOS,CC攻击,防止别人拖/采集你的站,阻止别人扫描你网站的目录,防渗透,一般CMS漏洞恶意利用都能被拦截。
此外给大家推荐一下我使用的CDN,开始使用的知道创宇的加速乐,拥有免费套餐。另外一个呢是特别推荐的百度云加速,不仅提供加速乐的功能,还能智能和百度蜘蛛结合,主动推送文章给百度蜘蛛,加快收录,云加速也提供免费套餐,普通网站已经够用了。最后一个呢是阿里云的付费CDN,这呢就需要付费了,可以打阿里400客服咨询。
 

3、修改默认设置

修改远程桌面的端口号(5901),FTP端口号(21),SQL端口,CMS默认设置(默认后台地址)等等,修改了默认设置能有效减少暴力破解,让对方找不到庙门。

4、增加防火墙

现在免费好用的防火墙很多,比如云锁和安全狗什么的,具体的使用方法在他们的论坛上都有,还提供免费的技术支持。

5、备份不放在网站目录

备份的压缩包一定一定不能放在能访问的目录,很多人备份了压缩包就直接放在根目录了。最好用第三方工具备份!备份到网站目录容易被别人扫描出来,一旦扫描出来人家只用输入地址就可以下载你的 rar什么的了,源码都被人家下载了,看看什么数据库备份文件上面的就能轻松进入后台了,备份网站可以使用阿里云的快照功能,云盘自动同步等等)

6、去除CMS不需要的模块

不需要的模块一般站长都不关注,容易被别人恶意利用,比如织梦的很多插件,关于织梦漏洞,会在下面详细讲解。

7、cms补丁及时更新

这是必须的,包括服务器辅助工具也是,要及时的更新,前段时间,著名的WDCP控制面板由于很多用户没有及时的更新补丁,就被黑客批量入侵了。

8、CMS后台路径转移并使用特殊字符(@_)!

其实也就是更改CMS的默认设置啦。

做好这几点,别人攻击你就需要花点心思出点真本事了!
我手头上也帮别人管着几个企业站,这些站基本都不更新,年底帮他们检查的时候都没发现被攻击,前几天检查收录的时候,无意间发现其中一个DEDECMS做的站居然被攻击了,而且已经被攻击好久好久了。这家伙攻击的方式有点奇葩,他聪明的判断了用户的来路,来自搜索引擎的挂马跳转到广告页面,输入域名或者来自其他站点的就保持原样,让我一直以为没事,我也是醉了……后面打开后台发现DEDE官方也给了些补丁,左查右查把木马都清理干净了再更新下补丁,然后加了些防火墙……
不扯了,下面是重点,用DEDECMS作为例子吧,我对它比较熟悉一点。
黑客攻击你的时候一般你网站都是有漏洞的,系统漏洞或者插件漏洞都很容易被利用。小白一般百度个漏洞,再百度个教程按步操作,老黑会研究你的每一个表单……
 DEDECMS的漏洞主要来自这几个地方:
A:会员目录  /member/
B:下载插件  download.php
C:搜索插件  search.php和heightsearch.php
D:第三方插件,比如报名系统
E:ckeditor  include\ckeditor(其他程序老版编辑器也会)
F:其他表单
G:系统漏洞
大概就这些, 会员功能一般不需要,里边表单安全性差,很容易被利用,网上也爆出了很多漏洞。

解决这些漏洞的方法也很简单粗暴,直接删除这些多余的目录就可以了,下载插件也直接删除,搜索插件的两个文件删除了也没问题,想要搜索功能可以使用百度站内搜索,百度站内搜索现在都公开了,去百度站长平台就可以使用了,百度站长平台传送门:百度站内搜索
第三方插件/报名系统漏洞如果你懂程序的话,自己修复一下,不懂得话,看上面的解决方法,编辑器漏洞更新就可以了,新版的dede都是更新了漏洞了的。
 




 

 
本文地址:http://itbyc.com/server/2463.html
转载请注明出处。
分享是一种快乐,也是一种美德:
评论列表(网友评论仅供网友表达个人看法,并不表明本站同意其观点或证实其描述)
博客首页 | WEB开发 | 网站运营 | CMS使用教程 滇ICP备14002061号-1