VPS服务器有没有漏洞?网站有没有漏洞?被攻击了我该怎么办

  • A+

360°网站安全加固 今天就和大家科普一下 ,VPS服务器有没有漏洞?网站有没有漏洞?被攻击了我该怎么办

 

VPS服务器有没有漏洞?网站有没有漏洞?被攻击了我该怎么办

其实不存在没漏洞的系统,漏洞就在那,黑客只是发现了他而已。就跟万有引力一样,不能说牛顿没发现就不存在万有引力。软件升级带来了修补旧漏洞的利好消息,同时也带来了新的未知漏洞的风险

备注:你可以尝试用thinkphp漏洞、nginx漏洞、php漏洞、redis漏洞、dedecms漏洞、discuz漏洞等等为关键词进行搜索,漏洞有几个生命周期:潜伏期、发现期、利用期、公开期、修复期、die。有些组织手握很多未公开的漏洞信息,没公开罢了

若是开源软件,会存在找漏洞和修漏洞的人之间的博弈过程(N对N)。但若是闭源软件,则是找漏洞的人和官方开发人员之间的博弈过程(N对1),官方发现漏洞会比较晚。闭源软件漏洞的生命周期会长于开源软件,所以我更倾向于使用还在维护中的开源软件

一:介绍
攻击和防御的界限很模糊,攻击端必须知道防御端是什么样才能攻其不备,防御端必须知道攻击端有什么武器才能构建防御,而这两者要了解的技术是一样的。就跟刀具一样,在不同人的手里有不一样的属性。但现实是,绝大部分程序员对于这方面的知识储备远远低于专业攻防人员,所以你就懂了

漏洞的发生无非就是用户端传来的数据检查不严格,权限检查不严格,导致错误执行了黑客有意构造的非法代码

我们暂且不提系统级别或者软件级别漏洞,即使有也只能等官方发现并修复。对于未知的网站源码级别的漏洞,我们站长能做的只能在防火墙、权限配置方面做文章,下面教大家简单设置:

二:防火墙配置

防火墙可以对网站传输的非法数据进行识别,可以抵御常见的SQL注入、一句话木马、上传漏洞、cookies漏洞等等。如果大家不会配置部署 防火墙,可以联系 360°网站安全加固

三、权限配置

上面的配置已经可以抵御九成半的漏洞攻击,包括几乎所有的脚本批量普通漏洞扫描。因为这个防御的只是规则性漏洞,对于变种或伪装性极强的无法防御

也就是说仍然会有半成的漏洞攻击被放进来了,这时候就需要进行权限配置了,原理就是,即使黑客通过网站漏洞上传了木马,若是没有关键执行权限,仍然什么也干不了

备注:很多人为图方便将网站所有目录设置成777,即所有用户有全部权限,这是非常危险的。还好宝塔已经将网站目录所属人设置为www用户,权限为755,但这仍然不够

下面的操作步骤顺序之间有依赖性,必须严格按照下面的顺序进行(以下全部使用宝塔页面操作。若使用chmod命令行操作,必须加-R参数):
1、对于网站公开目录使用555权限,例如public目录。这个操作也会同时应用到所有子目录和子文件
2、对于网站上传目录使用755权限,例如upload文件夹
3、对于网站上传目录中的所有文件使用644权限,例如通过网站上传的图片。因为图片随时都会上传,所以要时时进行设置,需要用到宝塔的计划任务,设置以每分钟运行的任务chmod 644 /www/wwwroot/xxx.com/public/upload/*/*。把xxx.com换成你的网站目录,这里的*代表所有文件,因为有的网站程序上传图片时并不是上传到单独一个文件夹,而是以每月命名的文件夹,所以倒数第二个*代表upload里所有的文件夹
4、还需要使用Nginx、Apache禁止上传目录的php执行权限

权限操作说明:
555:所有用户都没有写入权限
755:只有文件所属用户有写入权限
644:所有用户都没有执行权限

四:总结
1、以上方法只能防御网站源码漏洞,如果被系统漏洞或者软件级别漏洞攻击,你不是孤单的一个人,这将是全球性的灾难漏洞,耐心等待官方发布补丁包下载安装即可
2、这里有个简单判断网站是否被上传木马的方法:,一般我们上传完网站源码后不会再修改网站内容,如果发现某个文件夹修改时间和同目录文件夹明显不一样(缓存目录除外),就要小心了
3、所有网站使用同一个密码,并且几年都不换,这个会导致公开的社工库中已有你的账户和密码
4、机器使用默认的ssh的22端口,同时账号为root,并且密码为常用密码或弱密码,会导致你的机器被用来挖矿或用作肉鸡
5、使用默认网站后台登录目录,并且密码为常用密码或弱密码,后台会被人爆破密码。验证码只能防人,不能防机器
6、做站使用windows系统,由于没有linux天生完善的文件权限控制机制,被攻击成功概率远远高于linux系统

VPS服务器有没有漏洞?网站有没有漏洞?被攻击了我该怎么办

  • 微信客服
  • 联系免费答疑
  • weinxin
  • QQ客服
  • 联系免费答疑
  • weinxin

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: