你的网站真的安全吗？

龙飞

什么是网站安全？
网站安全，是指出于防止网站受到黑客入侵者对其网站进行挂马，篡改网站源代码，被窃取数据等行为而做出一系列的安全防御工作。
; l3 F) u5 k. @7 W
8 _8 N, X$ U8 l; X3 R: {通俗来讲，网站安全就是当有人攻击你的网站时，你所作出的防御，又或者是事先对网站进行的一系列防止别人攻击的安全防护部署。由此看来，网站安全对于网站的正常运营具有重要意义。
: X1 F0 h' @7 a, ?. Z: T# j4 o
网站安全到底有多重要？
为什么网站安全如此重要呢？在日新月异的当代社会，互联网成为新兴热门的产业，网站技术发展迅速，渗透到人类生活的各个方面，越来越多的事情需要通过互联网来完成。
  o4 Y" M6 m" T. e
与此同时，网站安全问题也就日益突出，但绝大多数的网站开发与建设公司只考虑正常用户的稳定使用，而对于网站安全方面了解甚少，发现网站安全存在问题和漏洞，其修补方式只能停留在页面代码的删除或者是恢复网站备份，很难针对网站具体的漏洞原理对源代码进行修复。
& Z  c) |& T+ G. M7 F- U
1 T: E0 K2 d! o6 F" }6 `但黑客对漏洞具有敏锐的洞察力，网站存在的这些漏洞就会被挖掘出来，成为黑客们直接或间接获取利益的机会。

+ j- J& m3 [$ e, }; ~6 N网站常见的安全风险来源有哪些呢？
通过大数据分析，网站出现的安全问题主要有以下几个方面：
6 _! y5 a  p5 X' q
1.使用破解版的建站框架，维护成本和安全代价反而更高
$ h1 p+ J# ]) m+ m
  ]; U' l5 X2 P" S! ~现在市场上面CMS框架数不胜数，很多用户在初创阶段由于考虑成本，会选择盗版/破解版的CMS框架，心里想着我才刚起步，没有什么流量，即使网站被入侵也不会有多大损失。

事实上，盗版/破解版的软件是不存在售后服务的，如果程序出现了什么问题，还得是你自己解决，或者请人解决，高额的维护费用或者损失的时间加起来绝对不是几千块钱程序源码钱能解决的。

2.使用不明来路的第三方前端/后端插件，引入非法代码
3 C* M7 a( w& a
网站经常会引用第三方的工具插件，例如上传文件/客服聊天/表单问卷等等，丰富体验和功能。

2 S5 h5 U+ Q+ c+ E: V5 n. [然而，来路不明的第三方插件会在程序里面留有后门，这样最终造成的结果就是时常宕机、网页打不开或者重定向跳转到非法网站，无法追责，更重要的是平台资金数据很容易出错导致自身业务无法正常运营，直接损害个人或公司利益。
1 K% ?& L4 u8 c$ z9 T" F; ]* h
3.服务器开放不必要的端口号，遗留网络攻击风险隐患
* _# L# L1 Y& v0 w7 Z
开发者可能出于调试方便，对外开放了不必要的端口，导致服务器很容易被暴力破解或者其他方式入侵，例如对外开放22(ssh), 3389(windows远程桌面)，3306（mysql）, 6379(redis)，27017（mongodb），21（ftp）等端口，尤其是数据库一旦被攻破，后果不堪设想。
; e$ O" I8 a: p  z# N& x$ X
( t* F* H# G; p, L& g1 {4.后台超管、数据库等使用简单的密码，被暴力破解
8 L4 j5 M6 U7 ?$ R, L. k# n
1 Z4 V3 D4 e0 \, {; P+ C# Z) \) p3 w# o如果使用弱密码，很容易被暴力破解，特别是有些系统没有对登录失败的次数进行限制，这种情况被破解是早晚的事，弱密码示例：
" d; }! X7 z, }+ j
常见的默认密码：password、admin
数字或字母的重复：111111、aaaaaa
, w+ H# v7 L& Q" \  `5 u数字和字母的简单组合：abc123、qq123456
按基础顺序进行排列：123456、qwerty（键盘的键排列）
以常见寓意设置密码：iloveyou、1314520
密码与账号相同