你的网站老被塞小纸条？教你两招！

各位站长，谁还没被“一句话木马”之类的玩意儿恶心过？

这玩意儿，短小精悍，就那么一行代码（见下图），藏在你网站的犄角旮旯里，简直防不胜防。

（图一：一句话木马，看着人畜无害，实则暗藏杀机）

黑客攻陷服务器，通常是先搞你的网站，塞个木马进去，然后以此为跳板，逐步渗透，最终控制你的服务器。

他们怎么塞？无非就那几种老套路：上传漏洞、FTP泄露、跨站攻击。其中，上传漏洞绝对是重灾区，占比90%以上！简直是后门大开，欢迎光临！

想彻底杜绝？最狠的招当然是直接把在线上传功能给阉了！没了这个口子，木马自然进不来。但说实话，这就像为了防止感冒，直接把自己关进无菌舱，是不是有点矫枉过正？为了安全牺牲便利，真的值得吗？

其实，防范木马没那么难，两板斧下去，保你清净：

1. 物理隔离！只允许指定人员（比如你自己）使用上传功能。
2. 釜底抽薪！直接禁止上传PHP、ASP这类“危险分子”。

一、物理隔离：给上传功能加把“锁”！

注意，我这里强调的是“物理层面”，别跟我说你在后台设个权限就完事儿了！黑客才不吃你那一套，他们玩的就是漏洞，绕过你的后台权限简直易如反掌。

所谓的“物理层面”，就是要在网站之外，再加一道防护。上传的文件，通常都放在后台目录里，我们可以用“护卫神.防入侵系统”的“网站后台保护”模块来限制访问（如下图）。

（图二：护卫神.防入侵系统的网站后台保护模块，看着就让人安心）

简单来说，就是把后台地址和上传目录填进去，再设个“授权密码”。这样一来，谁想访问上传模块，都得先过你这道坎儿，输入密码才行（如下图）。黑客又不知道密码，自然就被挡在门外了。

（图三：想进后台？先报上名来！）

更骚的操作是，你可以按城市授权！比如，你人在成都，就可以设置成都IP可以直接访问，其他地方的就必须输入密码。毕竟，黑客跟你在同一个城市的概率，那真是低到尘埃里了。

二、釜底抽薪：断了“危险分子”的粮！

上传模块通常都会限制文件类型，但这种限制，对黑客来说，呵呵，too young too simple！

所以，我们需要更狠的招——“护卫神.防入侵系统”的“篡改防护”模块。这玩意儿直接从底层驱动入手，限制保存的文件类型，让黑客彻底没戏唱。

看下图，禁止写入php文件！就算黑客能上传木马，保存的时候也会被无情拦截。更妙的是，这完全不影响你正常的网站管理！

（图四：篡改防护，专治各种“不服”）

为了方便大家，这玩意儿还内置了各种CMS的防篡改规则模板。你只需要选一下网站路径、安全模板、后台地址，它就能自动配置好强大的防护规则（如下图）。简直是懒人福音！

（图五：一键添加CMS防护，省时省力）

这两招下去，黑客想再往你网站里塞木马，那真是难于上青天！是不是So easy？

当然，你还可以更进一步，用“木马防护”模块，定期扫描，清理那些漏网之鱼。再用“静态目录防护”模块，禁止上传目录执行动态脚本（这个功能默认是开启的）。总之，就是要全方位、无死角地保护你的网站！

• 黑客/