企业官网常见安全漏洞与加固清单

很多企业主觉得自己的官网就是个展示页，没什么好黑的。实际上被挂马、被刷暗链、被跳转到博彩站的静态站占了我们接到运维工单的六成以上。攻击者不挑站大小，只挑防守松的站。

第一类问题是后台弱口令。凡是还在用admin、123456、公司名当密码的，基本三个月内必被扫出来。后台密码至少十二位，混合大小写和符号，并且开启二次验证。宝塔、phpMyAdmin、FTP这三个入口不要暴露在公网默认端口。

第二类是上传目录可执行。哪怕是静态站，只要服务器上留着带PHP的上传目录，又没做脚本执行隔离，攻击者就能传一句一句话木马。建议在Nginx配置里对uploads、uploadfiles这类目录全部禁止PHP解析。

第三类是HTTPS缺失。浏览器地址栏显示不安全，不仅影响百度信任，还容易被运营商劫持插入广告。Let's Encrypt的免费证书完全够用，宝塔面板一键申请，不要为了省这一步继续跑HTTP明文。

第四类是过期CMS和插件。用WordPress、帝国、织梦的站，只要三个月没更新版本，就会被批量扫描工具盯上。我们给客户的建议是，展示型官网直接做成纯静态HTML，不依赖任何CMS，攻击面立刻缩小一个数量级。