内容摘要：网站被拖库，往往不是黑客技术有多高明，而是管理员在某个细节上偷了懒。去年某电商平台泄露了八千多万条用户记录，事后溯源发现，攻击者最初只是利用了一个未及时修补的Struts2漏洞，上传了一个WebShe

网站被拖库，网站往往不是安全黑客技术有多高明，而是管理管理员在某个细节上偷了懒。去年某电商平台泄露了八千多万条用户记录，措施事后溯源发现，网站攻击者最初只是安全利用了一个未及时修补的Struts2漏洞，上传了一个WebShell，管理然后在服务器里翻到了明文存储的措施数据库密码。整个过程没有零日漏洞，网站没有高级持续性威胁，安全就是管理几个基础环节掉了链子。

密码存储是措施第一道分水岭。很多老系统还在用MD5，网站甚至明文。安全MD5早就被撞库攻击打得千疮百孔，管理GPU集群每秒能算几十亿次哈希。现在的最低标准是bcrypt或argon2，每个用户加独立盐值，计算成本调到登录一次需要几百毫秒——这个延迟对正常用户几乎无感，但对暴力破解者就是灾难。有个做社区论坛的朋友，把用户表从MD5迁到bcrypt之后，撞库成功率从12%掉到了接近零。

SQL注入这事儿说了二十年，但每年OWASP Top 10它还在榜上。原因很简单：开发图省事，字符串拼接写惯了。参数化查询不是可选项，是底线。我见过一个后台登录接口，直接把用户输入的username拼进SQL，加个单引号就能绕过验证。修复方案其实就一行代码的事，但就是没人改。这类漏洞的可怕之处在于，攻击者不需要任何工具，浏览器地址栏里敲几个字符就能进后台。

文件上传功能是另一个重灾区。很多网站只在前端用JavaScript检查扩展名，后端完全不设防。攻击者把jsp文件改成jpg后缀，前端校验通过，后端直接存到web目录下，然后访问那个“图片”地址——服务器就执行了。正确的做法是：后端白名单校验扩展名、重命名文件、存到web根目录之外、设置目录不可执行。四步缺一不可。少一步，就等于把shell递到攻击者手里。

HTTPS现在基本普及了，但配置质量参差不齐。有的站点还在支持TLS 1.0，有的用了弱加密套件，有的证书过期了也不换。更隐蔽的问题是混合内容：页面走HTTPS，但里面加载的某个JS或图片走HTTP，浏览器会警告，但很多管理员直接忽略了。这给中间人攻击留了口子，攻击者可以替换那个HTTP资源，注入恶意脚本。用SSL Labs测一下，很多站点的评级只有C甚至F。

日志和监控经常被忽视。网站被入侵了，管理员往往是最后一个知道的。没有异常登录告警，没有文件完整性监控，没有WAF日志分析。攻击者在服务器里待了三个月，管理员还在纳闷为什么搜索引擎把网站标记为“可能含有恶意软件”。最低限度得做到：记录所有登录尝试、监控关键文件哈希变化、设置异常流量告警。这些不需要多贵的商业方案，开源的OSSEC加ELK就能搭起来。

权限管理是个老生常谈但总被绕过的问题。数据库账号用root，web目录权限777，SSH允许密码登录且root直接登。这三个习惯凑在一起，等于把大门钥匙插在锁上还贴了张纸条写着“欢迎光临”。数据库账号应该只给必要的库和表的增删改查权限，web目录属主和进程用户分离，SSH禁用密码改用密钥并禁止root直接登录。每一条都是举手之劳，但每一条都能挡住一大批自动化扫描工具。

安全不是买个WAF或者装个杀毒软件就完事了。它是一堆细节的叠加：密码哈希算法选哪个、SQL语句怎么写、上传的文件存哪里、日志保留多久、权限怎么分配。每个细节单独看都不起眼，但攻击者找的就是那个你偷懒的地方。把上面这些基础项做到位，能挡掉九成以上的自动化攻击和脚本小子。剩下的那一成，才需要拼高级防护和应急响应。