上周有个哥们半夜给我打电话，声音都抖了，说他的企业站被挂马了，首页全是博彩广告。我让他把后台密码改了，他说改了没用。后来我一看后台，好家伙，连FTP密码都是123456，而且服务器根目录权限开到了777，这哪是建站，这是给黑客留了VIP通道啊。
很多人问我，网站文件保护怎么做？其实真没那么玄乎，大部分时候都是人为疏忽。我干这行八年了，见过太多小白花大价钱买所谓的“安全防护软件”，结果连最基本的目录权限都没设对。今天我不讲那些虚头巴脑的理论，就聊聊我在一线摸爬滚打总结出来的几个保命招数。
首先，目录权限是重中之重。别一听777就觉得安全，那是给外行看的。在Linux服务器上，网站根目录一般给755权限，也就是所有者可读写执行，组和其他人只读执行。而上传目录，比如uploads或者images，因为需要写入功能，通常给755或者777，但这里有个坑，很多人直接把777给到底了。记住，上传目录里绝对不能允许执行php脚本。怎么做到？在上传目录里新建一个.htaccess文件（如果是Apache环境），写入deny from all或者禁止php执行。这一步做不好，你后面所有防护都是白搭。
其次，数据库备份不能偷懒。很多老板觉得备份是IT部门的事，结果IT离职了，备份也没了。网站文件保护怎么做？核心就是数据不丢。我一般建议客户开启自动备份，而且不要只备份在本地服务器。本地服务器要是被肉鸡攻击或者硬盘坏了，那就全完了。一定要异地备份，比如同步到阿里云OSS或者腾讯云的COS里，甚至简单点，每周手动下载一份到本地电脑硬盘里。别嫌麻烦，真出事了，你哭都来不及。
再说说后台登录。别用admin或者administrator这种默认用户名，太容易被爆破。我见过一个站，后台登录地址还是默认的/wp-login.php，黑客用脚本扫一下，几分钟就撞库成功。建议把后台登录地址改得复杂点，比如加上随机字符串，或者直接用Nginx限制IP访问，只允许公司固定IP登录后台。这一步成本几乎为零，但效果立竿见影。
还有，软件版本更新要及时。WordPress、DedeCMS这些主流CMS，官方发布安全补丁时，一定要第一时间更新。很多漏洞都是老掉牙的，但因为没人更新，成了重灾区。我有个客户，用了个五年前的老旧模板，里面藏着后门代码，怎么查都查不出来，最后重装系统才解决。所以，尽量用官方正版主题和插件，别贪便宜去下载破解版，那里面全是雷。
最后，服务器环境也要加固。比如关闭不必要的端口，像21端口（FTP）如果不是必须，最好关掉，改用SFTP或者SCP。还有，服务器操作系统也要定期打补丁。这些听起来很技术，但其实很多服务器提供商都提供一键加固服务，或者你可以找靠谱的技术服务商帮忙设置。
说到底，网站文件保护怎么做？没有一劳永逸的神器，只有日复一日的细心。别等网站被挂马、被篡改了才后悔莫及。平时多花点心思，设置好权限，做好备份，更新好系统，比事后花几万块去修复要划算得多。
如果你对自己的技术不太自信，或者公司没有专门的IT人员，建议找专业的建站团队做一次全面的安全体检。别省这点小钱，毕竟网站是你公司的脸面，脸面脏了，客户谁还敢信你？有相关疑问或者需要安全加固服务的，欢迎随时私信我，咱们聊聊具体方案，别让你的心血白费。
