昨天下午，网站我帮一位朋友排查他的信息个人网站，一台老旧的安全云服务器上跑着WordPress。后台登录日志显示，隐患凌晨三点有人用脚本尝试了四百多次密码。排查这让我意识到，网站网站安全隐患排查这件事，信息真不是安全大公司才需要操心的。个人站长、隐患小企业官网，排查往往因为忽视而暴露在更大的网站风险里。

排查的信息第一步，先看服务器端口。安全用netstat命令扫一遍，隐患看看哪些端口对外敞开。排查很多新手喜欢把3306、6379这类数据库端口直接暴露公网，密码还设成root、123456。我见过一个电商小站，MySQL端口裸露了两年，数据被人拖走都不知道。关闭不需要的端口，或者用防火墙限定IP访问，这比装任何安全软件都管用。

接着检查Web目录权限。Linux服务器上，文件权限设成777的比比皆是——图省事，结果任何用户都能读改写。正确做法是目录755、文件644，上传目录可以单独放开写权限，但执行权限必须掐掉。去年我审计过一个小程序后台，就是upload目录能执行PHP，被上传了一句话木马，整台服务器成了挖矿肉鸡。

别忘了看日志。Apache或Nginx的访问日志里，藏着大量攻击痕迹。比如连续的POST请求到某个不存在的php文件，或者URL里带着sqlmap的特征，这些都是扫描器在试探。我习惯用awk命令把高频IP拉出来，再比对fail2ban的封禁列表。一个IP一天请求上千次，不是爬虫就是攻击，直接丢黑名单。

CMS和插件更新，这步最容易被拖延。WordPress的插件漏洞每年都有几十个高危，很多人懒得点更新按钮。实际上，攻击者专门扫描旧版本插件，利用公开的漏洞代码批量打站。我朋友那个站，就是用的一个两年前的旧主题，带个XSS漏洞，差点被挂上钓鱼页面。定期更新不只是功能升级，更是在补安全窟窿。

最后提一句备份策略。排查完隐患，不等于万事大吉。真正的底气来自可恢复的备份。别把备份放在同一台服务器上，我习惯每天凌晨用rsync推送到另一台机器，保留最近七天的版本。真被黑了，直接重装系统，从备份拉回来，损失能控制在一天以内。

安全排查不是一次性工作，是日常习惯。每次改完配置、更新完插件，花十分钟扫一遍端口和日志，心里踏实。毕竟，网站被黑这种事，等发现时往往已经晚了——搜索引擎会标记你的站点为危险，用户访问直接跳警告页，那损失可就不是几十分钟能挽回的了。