互聯(lián)網(wǎng)創(chuàng)業(yè)成功之道(五)：網(wǎng)站防黑的安全小錦囊

時間：2022-07-28 00:51:01 | 來源：建站知識

時間：2022-07-28 00:51:01 來源：建站知識

網(wǎng)站建成后，維護和管理就成為了需要持續(xù)進行的工作。在本章中，將對網(wǎng)站的內(nèi)部鏈接優(yōu)化、高效維護、PR的提升方式進行介紹。

一、優(yōu)化網(wǎng)站的內(nèi)部鏈接

二、網(wǎng)站高效維護三大常識

三、提高網(wǎng)站PageRank有妙招

四、站點交換鏈接 也要謹(jǐn)防假冒

五、反對低俗 禁止網(wǎng)站的違規(guī)內(nèi)容

六、簡單配置 讓網(wǎng)站服務(wù)器固若金湯

七、了解“蜘蛛” 提高網(wǎng)站收錄

八、巧妙加快網(wǎng)頁顯示速度

九、提高域名PageRank的小技巧

十、避免雜亂 在線管理網(wǎng)站文件

十一、網(wǎng)站故障實時監(jiān)測自動提醒

十二、為網(wǎng)站簡單添加搜索功能

以上內(nèi)容詳細信息可到“互聯(lián)網(wǎng)創(chuàng)業(yè)成功之道(五)：為網(wǎng)站簡單添加搜索功能”閱讀。

十三、網(wǎng)站防黑的安全小錦囊

個人站長最怕但也是最常遇到的，可能就是網(wǎng)站被入侵了。由于大多數(shù)個人網(wǎng)站使用的程序都是公開的程序，所以往往更容易遭受攻擊。不過，如果做到了以下幾點，網(wǎng)站安全性就會增強很多。

1.簡化功能 刪除多余程序

一些網(wǎng)站喜歡使用程序外置的各種插件，有的還是測試程序。這些插件存在不少問題，這樣一來，黑客就可以很容易地對網(wǎng)站進行旁注等入侵，導(dǎo)致網(wǎng)站安全存在極大的隱患。因此建議網(wǎng)站在進行一些動易插件測試之后，將不用的程序文件全部都刪除，以免對網(wǎng)站的正常運行造成危害。

使用網(wǎng)上發(fā)布的建站程序，有一大好處就是會不斷地進行升級，建站程序的官方網(wǎng)站常常會有各種升級包發(fā)布，或者專門針對某些程序漏洞發(fā)布的補丁程序。所以，經(jīng)常在官方網(wǎng)站上下載補丁也是保障安全的一個方法。

小提示：

在下載建站程序的時候一定要到大型網(wǎng)站，并且要自行進行查毒后再上傳到服務(wù)器上使用。

2.密碼防護 設(shè)置復(fù)雜的口令

設(shè)置復(fù)雜的帳號密碼是老生常談的話題，網(wǎng)站程序也是一樣，如果設(shè)置了足夠復(fù)雜的管理密碼，即使黑客通過下載數(shù)據(jù)庫得到了密碼的MD5數(shù)據(jù)，也很難對其進行轉(zhuǎn)換破解。特別需要注意的是一般程序都有默認(rèn)的原始密碼，往往很多站長會忽略。

設(shè)置了復(fù)雜的密碼，還需要注意保護個人的信息，通常站長喜歡在網(wǎng)站上放上自己的郵件地址，方便廣告商聯(lián)系投放廣告，但是目前支付寶甚至網(wǎng)銀的交易等信息都會在郵箱中保存。很有可能會造成黑客使用社會工程學(xué)的方式套取信息，從而破解密碼。

3.查補漏洞 讓網(wǎng)站堅不可摧

其它的方法還包括經(jīng)常在程序官方網(wǎng)站下載補丁等，如果是使用服務(wù)器的網(wǎng)站，則需要提高服務(wù)器安全性，服務(wù)器的權(quán)限分配一定要仔細設(shè)置，這往往是很多站長容易忽略的問題，而且要注意務(wù)必要安裝所有的Windows更新補丁。

需要提醒大家的是，如果比如網(wǎng)站僅使用了單一的程序語言，如使用PHP+MySQL架構(gòu)的建站程序，就可以在IIS應(yīng)用程序配置里只留下對應(yīng)的權(quán)限。另外，由于很多網(wǎng)頁木馬都是使用asa后綴做為文件名稱隱藏，所以如果我們不使用ASP程序，就一定要去掉asa選項。對于使用虛擬主機系統(tǒng)的用戶，建議最好不要使用ASP、PHP語言都支持的全功能網(wǎng)站空間，而是選用單一腳本空間。

圖26

經(jīng)過以上設(shè)置后，黑客就算破解了程序的管理帳號密碼進入網(wǎng)站后臺，也不能進行其它諸如提升權(quán)限、種植木馬的惡意操作，也就不能進行更嚴(yán)重的破壞了。

十四、訪客查詢以及安全措施

1.查出訪問者IP地址

網(wǎng)站遇到黑客或者惡意訪問者怎么辦，比如有人通過軟件將網(wǎng)站內(nèi)容非法采集。遭遇類似不懷好意的訪問者，就得浪費大量的時間。即使真的想“固守陣地”也無法時刻呆在網(wǎng)站上。怎么辦，把網(wǎng)站一關(guān)了之?當(dāng)然只是開玩笑罷了。忍無可忍，無須再忍!看我的，幾步確定惡意瀏覽者的身份!

Tips：為何需要查出IP地址

IP地址是確定瀏覽者身份的重要信息，它用于在TCP/IP通訊協(xié)議中標(biāo)記每臺計算機的地址。即使目前的網(wǎng)絡(luò)大多數(shù)情況下都是動態(tài)IP地址，但是動態(tài)IP地址由ICP分配，一樣受到了規(guī)范的管理，根據(jù)IP信息公安部門仍然可以確定瀏覽者的具體方位。

要查詢網(wǎng)站瀏覽者的IP等信息，可以通過很多種方法來完成，比如根據(jù)服務(wù)器的IIS文件進行分析得出、使用專門的IP獲取工具查詢、或者是通過網(wǎng)站程序的功能實現(xiàn)。

其實可以用一種最簡單的方法，就是利用大多數(shù)網(wǎng)站都正在使用的統(tǒng)計程序。一般來說由于很多網(wǎng)站都使用了類似統(tǒng)計功能，所以無需添加或改動任何網(wǎng)站文件，就可以直接使用。因為統(tǒng)計程序最基本的一個功能，就是確定瀏覽者的IP地址等信息。

第一步：如果還沒使用過任何統(tǒng)計，可以先進行統(tǒng)計服務(wù)的申請。而后在網(wǎng)站的相應(yīng)位置放置統(tǒng)計代碼。要是早就已經(jīng)用上統(tǒng)計程序，就可以跳過這一步驟了。

第二步：這里就以51啦統(tǒng)計服務(wù)進行說明，登錄網(wǎng)站后臺后，點擊“在線用戶”欄目，將會顯示詳細的訪問者各項信息，包括訪問入口、停留時間、離開的網(wǎng)頁等，可以根據(jù)留言的時間大致確定惡意瀏覽者的方位，而后在訪問者列表中進行詳細的查找。

圖27 統(tǒng)計列表中的訪問者

第三步：確定惡意瀏覽者的IP地址后，可以點擊該地址，程序?qū)@示該訪問者的具體信息，列舉了該IP的網(wǎng)絡(luò)線路、來路、入口，甚至是電腦信息，如系統(tǒng)版本、瀏覽器類型、屏幕分辨率等詳細的參數(shù)。

圖28 某訪客的詳細信息

為了使信息更加精確，我們還可以把IIS服務(wù)器的日志文件結(jié)合起來進行分析，從而確定具體訪問者的瀏覽信息，如幾分幾秒瀏覽過那個文件，而后又轉(zhuǎn)向那個網(wǎng)頁。如此精確的信息，還怕找不出“幕后黑手 ”?!

2.決不手軟!屏蔽瀏覽者訪問權(quán)限

在查到了惡意瀏覽者的IP地址后，這時可以使用一些方法和技巧阻止惡意攻擊的行為，最好的方法就是禁止他的訪問權(quán)限，只讓該IP地址無法瀏覽網(wǎng)站，那么無論是采集還是惡意破壞都無法得逞，這樣一來我們的目的也就達到了。

小提示：

因為目前無論是寬帶還是其它的上網(wǎng)方式，大都是自動分配的動態(tài)IP，這樣一來屏蔽單個IP的話可能就不起作用了。但這些動態(tài)IP一般都只在一個網(wǎng)段中變化，也就是C類主機地址，可以將整個IP段屏蔽掉。

(1)虛擬主機如何屏蔽

登錄虛擬主機管理后臺，現(xiàn)在大多數(shù)虛擬主機管理系統(tǒng)都具備了設(shè)置拒絕訪問IP的功能，如圖所示進入相關(guān)設(shè)置頁面，而后按照文字提示輸入需要屏蔽瀏覽的IP地址，確定提交后，就大功告成了。

圖29 設(shè)置虛擬主機拒絕訪問IP

(2)服務(wù)器的設(shè)置方法

IIS中提供了IP限制的機制，可以以此來限制不能訪問網(wǎng)站的IP地址。方法是：打開IIS的屬性，依次點選安全性→IP地址和域名限制。在彈出的界面中選擇“授權(quán)訪問”，而后添加需要屏蔽的IP地址，最后確定即可。

經(jīng)過以上設(shè)置后，相對應(yīng)IP的訪問者在進入網(wǎng)站的時候，將出現(xiàn)HTTP錯誤403禁止訪問的提示。這樣一來，就把惡意瀏覽者阻擋在“門外”啦。

十五、巧設(shè)網(wǎng)站權(quán)限 拒絕黑客入侵

在網(wǎng)站運營的過程中，最令站長頭痛的的可能就是網(wǎng)站被入侵了，實際上，如果提前設(shè)置好網(wǎng)站的目錄權(quán)限，就可以保證網(wǎng)站能夠經(jīng)受大部分的漏洞攻擊。而設(shè)置權(quán)限的方法也并不難，本文介紹了設(shè)置文件目錄和數(shù)據(jù)庫權(quán)限的方法，只要根據(jù)本文一步步進行操作，就可以大大的提高網(wǎng)站的安全性。

1.網(wǎng)站目錄權(quán)限的設(shè)置方法

大多數(shù)網(wǎng)站都是采用程序搭建，對于系統(tǒng)管理的目錄，可以將其設(shè)置為可讀、也可執(zhí)行腳本，但不可寫入的權(quán)限;但是對于放置網(wǎng)頁靜態(tài)文件的目錄，以及放置圖片文件、模板文件的目錄，就可以將其設(shè)置為可讀寫，但不可執(zhí)行的系統(tǒng)權(quán)限。在權(quán)限分配明確之后，即使萬一系統(tǒng)被入侵，也只能瀏覽而無法對文件進行直接的操作。

圖30

對于能夠執(zhí)行腳本的文件，最好設(shè)置只能讀而不能寫的權(quán)限(圖)，而需要寫入的文件則將其設(shè)置為不能執(zhí)行腳本，目錄權(quán)限這樣配置下來，網(wǎng)站系統(tǒng)的安全性會大大提高。

2.數(shù)據(jù)庫權(quán)限也要仔細設(shè)置

對于網(wǎng)站來說，數(shù)據(jù)庫可以說是站點的核心，所有網(wǎng)站的內(nèi)容都存儲在數(shù)據(jù)庫中。所以說數(shù)據(jù)庫安全也是需要注意的地方。對于MySQL數(shù)據(jù)庫來說，最好不要對網(wǎng)站直接使用root管理用戶的權(quán)限，而要專門為每個站點開通一個數(shù)據(jù)庫帳號，而且將賬戶的權(quán)限設(shè)置僅限于操作當(dāng)前數(shù)據(jù)庫目錄，并且對這些單獨的MYSQL帳號去掉file和EXECUTE的執(zhí)行權(quán)限，這樣一來，即使數(shù)據(jù)庫被SQL注入，也只能到數(shù)據(jù)庫一級，而無法拿到整個數(shù)據(jù)庫服務(wù)器的權(quán)限。這樣一來，只要經(jīng)常對網(wǎng)站的數(shù)據(jù)庫進行備份，就很少會出現(xiàn)數(shù)據(jù)庫被入侵的情況。

另外需要注意的是，由于很多建站系統(tǒng)并沒有使用數(shù)據(jù)庫的存儲過程，因此最好禁用 FILE、EXECUTE 等執(zhí)行存儲過程或文件操作的權(quán)限。

小提示：對于Access的數(shù)據(jù)庫來說，可以將數(shù)據(jù)庫的存放位置進行修改，最好是較為隱蔽的目錄，這樣會避免數(shù)據(jù)庫文件被惡意探測下載。另外，一些程序也支持修改后綴，比如可以將.mdb的數(shù)據(jù)庫文件修改為.asa等后綴名，同樣可以有效的保護數(shù)據(jù)庫安全。

3.刪除不需要的文件

很多內(nèi)容管理系統(tǒng)中，都會在空間中存在很多以后并不需要的文件，最普遍的可能就屬于系統(tǒng)安裝文件了，這類文件通常被命名為install.php或者install.asp，如果你的空間中存在類似的文件，現(xiàn)在就趕快刪除吧。

另外，一些CMS也會存在很多功能，如問答系統(tǒng)等等，但是往往這些功能在網(wǎng)站中都不會用到，這時候就建議將這些功能的目錄刪除，或者僅保留html靜態(tài)頁面，然后將目錄設(shè)置為可讀寫但不可執(zhí)行的權(quán)限。

十六、拒絕“被黑”的安全預(yù)防

無論是大名鼎鼎的Windows操作系統(tǒng)，抑或應(yīng)用廣泛的建站程序，都不可避免地會出現(xiàn)各種大大小小的安全漏洞，常常會有黑客爆出各種建站程序的漏洞并同時發(fā)布了漏洞利用工具。面對這種情況，站長除了及時打好相應(yīng)補丁做好應(yīng)對措施以外，還應(yīng)加強程序和服務(wù)器的安全性。

目前大多數(shù)站長在建站時都是使用現(xiàn)成的網(wǎng)站程序，諸如ASP或PHP語言建站程序，雖然使用方便但也存在一定的安全隱患，不過只要我們提前做好安全防范，就能夠高枕無憂。

1.網(wǎng)站的安全預(yù)防

(1)將測試用過的程序文件刪除

一些網(wǎng)站喜歡使用程序外置的各種插件，有的還是測試程序。這些插件存在不少問題，這樣一來，黑客就可以很容易地對網(wǎng)站進行旁注等入侵，導(dǎo)致網(wǎng)站安全存在極大的隱患。因此建議網(wǎng)站在進行一些動易插件測試之后，將不用的程序文件全部都刪除，以免對網(wǎng)站的正常運行造成危害。

(2)不要輕易用第三方插件

很多CMS程序的第三方插件很多，但是有些并不是官方人員開發(fā)的，這些程序有很多都存在漏洞，甚至有人故意在其中安放了很多惡意腳本。所以建議不要輕易下載使用第三方程序的插件。

(3)將Access數(shù)據(jù)庫改為SQL

Access在作為網(wǎng)站數(shù)據(jù)庫使用時存在著不足，諸如安全等問題一直不是很有保障，很容易被惡意下載?？梢钥紤]將網(wǎng)站的Access數(shù)據(jù)庫改為SQL數(shù)據(jù)庫，很多CMS程序的官方網(wǎng)站也提供了相應(yīng)轉(zhuǎn)換程序的下載，使用SQL的數(shù)據(jù)庫網(wǎng)站的安全性會大大增強。

(4)經(jīng)常在程序官方網(wǎng)站下載補丁

使用網(wǎng)上發(fā)布的建站程序，有一大好處就是會不斷地進行升級，建站程序的官方網(wǎng)站常常會有各種升級包發(fā)布，或者專門針對某些程序漏洞發(fā)布的補丁程序。所以，經(jīng)常在官方網(wǎng)站上下載補丁也是保障安全的一個方法。

2.生于防范，死于疏忽

(1)管理文件名巧修改

很多網(wǎng)站程序的管理后臺都使用默認(rèn)的文件名稱，例如admin等常用單詞很容易被猜解，類似的文件名稱對網(wǎng)站的安全性只有害而無益，如果我們將文件名改為復(fù)雜的字母組合，比如將admin.php修改為endtoweb123.php等名稱，管理網(wǎng)站的時候直接輸入文件名稱即可(如.你的域名.com/endtoweb123.php)。這樣做的好處就是，即使黑客破解了程序的管理賬號密碼，也無法登錄管理后臺，從而阻斷了黑客的入侵，也就不會造成更大的損失。

(2)加強管理賬號復(fù)雜度

設(shè)置復(fù)雜的賬號密碼是老生常談的話題，網(wǎng)站程序也是一樣，如果設(shè)置了足夠復(fù)雜的管理密碼，即使黑客通過下載數(shù)據(jù)庫得到了密碼的MD5數(shù)據(jù)，也很難對其進行轉(zhuǎn)換破解。雖然復(fù)雜的密碼在使用時會顯得比較麻煩，但需要記住的是我們的偷懶只會方便了黑客。字母+數(shù)字+符號是比較好的密碼組合。

(3)提高服務(wù)器安全性

服務(wù)器的安全設(shè)置方法眾多，所謂簡單就是實用，我們就以Windows2000系統(tǒng)為例進行說明。其它Windows系統(tǒng)的設(shè)置方法也都大同小異。

第一步：依次點選“IIS文件安全性→文件安全性→匿名訪問和安全控制”，在彈出的控制面板中去掉“允許匿名訪問”前的復(fù)選框，然后增加一個“集成Windows驗證”?；蛘咭部梢园严到y(tǒng)中的默認(rèn)管理員賬戶禁用，另外再建立一個管理員賬戶使用。

第二步：如果網(wǎng)站僅使用了單一的程序語言，如使用PHP+MySQL架構(gòu)的建站程序，就可以在IIS應(yīng)用程序配置里只留下對應(yīng)的文件。另外，由于很多網(wǎng)頁木馬都是使用asa后綴做為文件名稱隱藏，所以如果我們不使用ASP程序，就一定要去掉asa選項。對于那些使用虛擬主機系統(tǒng)的用戶，建議最好不要使用ASP、PHP語言都支持的全功能網(wǎng)站空間，而是選用聲譽較高的IDC提供的單一腳本空間。

第三步：服務(wù)器的權(quán)限分配一定要仔細設(shè)置，這往往是很多站長容易忽略的問題，而且要注意務(wù)必要安裝所有的Windows更新補丁。

經(jīng)過以上設(shè)置后，黑客就算破解了程序的管理賬號密碼進入網(wǎng)站后臺，也不能進行其它諸如提升權(quán)限、種植木馬的惡意操作，也就不能進行更嚴(yán)重的破壞了。

敬請關(guān)注第五章其他段落：

十七、亡羊補牢 網(wǎng)站被黑后的處理方法

十八、讓網(wǎng)站無損過渡的操作方法

十九、網(wǎng)站的數(shù)據(jù)庫備份與管理

相關(guān)鏈接：

互聯(lián)網(wǎng)創(chuàng)業(yè)成功之道(四)：完善功能 讓網(wǎng)站更易用

《互聯(lián)網(wǎng)創(chuàng)業(yè)成功之道：網(wǎng)站策劃、建設(shè)、推廣盈利實戰(zhàn)攻略》是一本全面講解網(wǎng)站建設(shè)全過程的一本書籍，也是作者五年以來建站經(jīng)驗的總結(jié)。

本書圍繞網(wǎng)站建設(shè)的全過程展開，從網(wǎng)站策劃開始，逐一講解了網(wǎng)站創(chuàng)建、網(wǎng)站內(nèi)容管理、網(wǎng)站維護、網(wǎng)絡(luò)營銷方案、網(wǎng)站SEO、網(wǎng)站盈利技巧等實際操作，并以實例的形式為大家介紹了成功的網(wǎng)絡(luò)創(chuàng)業(yè)案例和網(wǎng)站運營中的誤區(qū)，讓大家可以學(xué)習(xí)最直接的建站經(jīng)驗。

A5站長網(wǎng)將連載本書，如果您想搶先閱讀，可到卓越網(wǎng)等網(wǎng)上書店購買，該書在全國各地新華書店亦有銷售。

作者：陶秋豐(EndTo) 出版社： 電腦報電子音像出版社。