去年秋天，企业一个做外贸的网站朋友凌晨两点给我打电话，声音都变了——公司官网首页被替换成一张黑底红字的安全勒索信，数据库里三万条客户询盘记录被锁死。企业他反复说一句话：“我们就是网站个卖五金配件的小网站，谁会盯上我们？安全”

现实很残酷。攻击者根本不挑食。企业他们用扫描器全网爬行，网站只要发现你的安全服务器开放了某个旧版本组件的端口，或者后台登录页没有验证码，企业就会自动发起攻击。网站整个过程不需要人工参与，安全成本几乎为零。企业你觉得自己“小”，网站在攻击者眼里只是安全一条容易得手的鱼。

企业网站最常被撕开的口子，往往不是高深的技术漏洞，而是人的疏忽。我见过一家做机械租赁的公司，技术负责人把测试环境直接部署在公网，数据库账号密码全是“123456”，连端口都没改。三个月后，他们的客户合同扫描件出现在某个境外论坛上，打包售价20美元。负责人后来复盘时说：“我以为没人会去翻一个测试站。”

另一个真实案例来自一家连锁餐饮企业的官网。网站本身没什么敏感数据，但攻击者通过官网的留言板功能上传了一个WebShell，然后以这台服务器为跳板，横向渗透进了他们内网的收银系统。最后导致全国四十多家门店的会员储值数据泄露。官网成了最薄弱的那块木板，而企业主一直以为“官网就是个门面，不重要”。

那到底该怎么防？别急着买贵的离谱的WAF或者找安全公司做渗透测试——那些当然有用，但在此之前，有几件基础的事必须做扎实。

第一，把后台登录入口藏起来。默认的 /admin、/login 路径是扫描器的重点目标。改成一个只有内部人员知道的路径，再叠加双因素认证。这一招能挡住八成以上的自动化暴力破解。

第二，所有输入框都是潜在的攻击入口。留言板、搜索框、表单提交，任何能输入字符的地方，都要做严格的过滤和转义。很多漏洞归根结底就是开发者太相信用户输入了。

第三，保持更新。CMS、插件、框架、服务器操作系统——每一个组件都要及时打补丁。我见过太多企业网站还在跑五年前的PHP版本，理由居然是“升级怕出问题”。不升级才会出大问题。

第四，备份要离线。别把备份文件放在同一台服务器上，更不要放在网站根目录下。攻击者拿到权限后第一件事就是删备份。离线备份才是最后的救命稻草。

第五，别在网站上放不必要的东西。企业官网不需要论坛、不需要文件上传、不需要在线编辑器。功能越少，攻击面越小。一个纯展示型的企业站，如果只输出静态页面，被黑的可能性会低一个数量级。

最后说个容易被忽略的点：日志。很多企业网站被入侵后，连攻击者什么时候进来的、从哪个IP进来的都查不到，因为根本没开日志或者日志只保留三天。至少保留六个月的访问日志和错误日志，关键操作要有审计记录。这不是为了事后追责，而是为了搞清楚漏洞到底在哪，避免下次再栽同一个跟头。

安全这件事没有一劳永逸。你今天堵住了一个洞，明天可能又冒出一个新的。但上面这些基础动作做到位，你的网站就不会是那个最容易被捏的软柿子。攻击者也是要算成本的，当他发现你这块骨头比旁边那家难啃，自然就换目标了。