如何防止网站被篡改？

本文目录导读：

1. 核心防护手段（防止直接篡改）
2. 漏洞发现与修复（阻断攻击路径）
3. 被动监控与响应（发现篡改）
4. 应急与恢复（减少损失）
5. 高级加固（针对特定攻击）
6. 紧急处置步骤（发现被篡改后）
7. 总结：最关键的 3 步，你需要立刻行动

防止网站被篡改需要从技术、管理和运维多个层面综合防护，以下是一些核心措施，按优先级和层次整理：

核心防护手段（防止直接篡改）

1. 文件完整性监控（最基础）

   • 原理：对网站关键文件（如 index.php、.htaccess、wp-config.php）计算哈希值（如 SHA-256），并定期比对。
   • 工具：
     • 开源：Tripwire、AIDE、Osquery。
     • 云服务：阿里云安全中心、腾讯云主机安全（支持文件完整性校验）。
   • 操作：设置定时任务（cron）每小时检查一次，变更即告警。

2. Web 应用防火墙（WAF）

   • 作用：拦截常见的 SQL 注入、XSS、文件上传漏洞等导致篡改的攻击。
   • 推荐：
     • 云 WAF：Cloudflare、阿里云 WAF、腾讯云 WAF（自动更新规则）。
     • 开源：ModSecurity（需配合 OWASP 核心规则集）。
   • 关键配置：开启“自动封禁”异常 IP，限制敏感接口（如编辑器后台）的访问来源。

3. 服务器操作系统加固

   • 最小权限原则：Web 服务（如 Apache/Nginx）运行用户（如 www-data）对网站目录只读（chmod 755 目录，644 文件），除 uploads/ 等需要写权限的目录外。
   • 禁用危险函数：在 php.ini 中禁用 system()、exec()、shell_exec() 等。
   • 禁用目录列表：在 Nginx/Apache 中配置 autoindex off;。

漏洞发现与修复（阻断攻击路径）

4. 定期漏洞扫描

   • 工具：OWASP ZAP（免费）、Acunetix（商业）、Nikto（开源）。
   • 重点检查：SQL 注入、文件上传绕过、弱密码、未授权访问后台。

5. 代码与框架安全

   • CMS（如 WordPress）：
     • 禁用或删除不需要的插件/主题。
     • 移除默认管理员账号 admin。
     • 启用 HTTPS 并强制重定向（防止中间人篡改）。
   • 自定义代码：
     • 所有用户输入（GET/POST/上传）必须经过参数化查询或严格过滤。
     • 使用 htmlspecialchars() 或模板引擎（如 Twig）防止 XSS。

被动监控与响应（发现篡改）

6. 实时网页篡改监控

   • 工具：
     • 商业：Site24x7、UptimeRobot（可设置内容变化告警）。
     • 开源：Prometheus + 自定义 exporter（比较网页 HTML 指纹）。
   • 策略：每隔 1-5 分钟请求网站首页，比对预期状态码（200）和内容哈希。

7. 日志审计与分析

   • 开启所有日志（访问日志、错误日志、修改操作日志）。
   • 关键指标：
     • 大量 500 错误（可能因篡改代码导致崩溃）。
     • 异常 POST 请求至非正常接口（如 /admin/upload.php）。
     • 源 IP 非正常国家/地区（通过 geoip 模块过滤）。

应急与恢复（减少损失）

8. 备份与快速恢复机制

   • 策略：每日自动备份网站文件 + 数据库（保留至少 30 天）。
   • 工具：rsync + cron，或云服务（如 AWS S3 生命周期策略）。
   • 关键：备份文件与 Web 服务器隔离（存放在对象存储或 FTP 备份机）。

9. “读锁”方案（极严保护）

   • 对静态页面（HTML）或核心逻辑文件，挂载为只读文件系统（如 mount -o ro,remount /var/www/html）。
   • 更新时临时切为读写,更新完立即恢复。

高级加固（针对特定攻击）

10. 防止供应链攻击

    • 只从官方源下载插件/库（如 npm --ignore-scripts 选项）。
    • 版本锁定（如 composer.lock）。

11. 防止后台被暴力破解

    • 限制登录尝试次数（如 fail2ban for wp-login.php）。
    • 双因素认证（2FA）（如 Google Authenticator 插件）。

12. 防止文件包含漏洞

    • 在 php.ini 中关闭 allow_url_include。
    • 禁用动态包含用户输入的文件路径（如 include($_GET[‘page’])）。

紧急处置步骤（发现被篡改后）

1. 立即下线：切断 Web 服务（systemctl stop nginx）或挂起服务器。
2. 保留现场：不要立即删除文件，先 cp -a 备份被篡改的目录。
3. 溯源：分析日志（访问日志、错误日志、last 命令）找到入侵时间点和方式。
4. 恢复：从干净的备份还原文件，确保备份未被污染（检查 md5）。
5. 修补漏洞：根据溯源结果修复漏洞（如升级插件、修改认证逻辑），再重新上线。

最关键的 3 步，你需要立刻行动

1. 启用 WAF（云服务商自带或 ModSecurity）。
2. 实施文件完整性监控（如 tripwire 或脚本 + sha1sum）。
3. 对所有 CMS 和插件自动更新（WordPress 可开启后台自动更新）。

如果公司没有安全团队，优先采购云安全服务（如阿里云安骑士、腾讯云主机安全），它们通常内置了文件完整性、篡改告警、基线检查。