网站一旦被挂马被黑，会给访问者和网站本身以及运营人员带来一些麻烦，如：
1、网站上出现了恶意脚本，可能弹出大量的垃圾广告和广告窗口，强制跳转到无关甚至非法的网站，被插入大量链接，导致页面被K，降低访问体验；
2、影响网站的SEO效果，降低百度排名，导致网站被降权等；
3、非法修改网站源代码，甚至被删除网站程序文件，造成数据丢失。
这篇文章就详细的讨论下网站是如何被渗透被植入恶意代码的呢？
常见漏洞如下：
1、文件上传漏洞：如上传页面未验证上传文件格式，导致被上传动态脚本（例如直接上传PHP一句马、过狗大马、图片马等），上传页面未验证权限，导致非法用户可以上传恶意文件等；
2、表单数据未过滤漏洞，例如，用户发布内容时，可以插入js、css代码，这样就给了非法人员有趁之机植入恶意代码，这些js和css恶意代码将在页面呈现时运行；
3、管理后台弱密码漏洞：有些管理后台账号密码太过简单（如admin、Admin），一猜就能直接被猜到从而登录后台为所欲为；
4、SQL注入漏洞：存在SQL注入点，渗透者可以入侵数据库进行操作，严重时甚至会导致被删除数据库；
5、网站程序存在已知漏洞：导致被非法人员恶意利用，将恶意代码植入web程序中，使得用户访问页面时恶意代码被执行，从而达到攻击者的目的。
现在我们知道了黑客挂马的一般过程，我们如何规避风险？结合蛋云数据多年的运维经验，提出一些建议供大家参考。
1、现在市面上的CMS源代码大多数都是开源公开的，所以0day中存在很多漏洞，漏洞被公之于众后，只要找到使用这个CMS程序搭建的网站基本就能攻击成功。所以范围很广杀伤力很大。但如果我们是定制或是自行开发的，攻击者不知道我们的源代码逻辑，想要渗透攻击则非常困难。如果基于CMS的网站，一定要注意官方的补丁，及时修复漏洞。
2、在web开发领域，我们一直强调用户的任何输入都是不可信的。在得到用户提供的数据后，我们必须进行必要的验证（格式是否正确）和过滤（过滤一些敏感字符）。
3、过滤掉这些内容：JS标签和代码、CSS标签和代码、HTML标签中的各种事件、单引号、双引号和SQL关键字；
4、这是非常重要的。即使攻击者获得上载漏洞，我们也只允许将其上载到特定目录。如果其他目录没有写权限，它们将不会被感染。如果他们没有执行权限，上传的动态脚本将不会被执行。
5、网站后台管理端地址更改为无法猜测的地址。密码必须设置得更复杂。（ 随机密码在线生成 ）
6、定期备份网站，然后做木马查杀，现在杀毒软件可以查杀网页木马。（ 定期备份网站详细教程 ）
本文关于网站建设方面的降低被挂马被渗透的风险如何做的相关内容也就到此结束了，有兴趣了解网站服务器方面该如何做好安全防护的也在本站中搜索关键词： 网站服务器安全防护
评论 (0)