全球每天都有数万网站被入侵,企业网站被攻击入侵后,会被篡改为一些非法页面,用户访问企业网站时会对企业的网络形象会造成损失,如果企业在使用网站做推广投放,还会对企业的推广费用造成损失。保障网站安全运行,一般部署工作一般需要从服务器安全和建设网站的程序入手。
1、禁止上传执行文件
企业网站为了方便更新网站内容,都有网站管理后台,后台HTML编辑器一般都带有上传功能,有的程序还可以单独上传文件,我们建议网站后台凡使用上传功能的地方,一定要禁止上传ASP/PHP/JS/NET等可以执行类文件。
2、用户提交数据权限
网站因为业务需要,有留言,评论等功能,尽量让用户只能提交一些,简单数据。如文字,图片。使用简单的编辑器就好。提交的文字信息替换非法字符,图片信息规范图片类型。
3、关闭FTP端口
如果网站不是经常需要用到FTP功能,建议将FTP端口关闭,需要的时候再临时打开。
4、禁止非法参数输入
禁止访客在网址输入非法参数,在接收过来的参数,过滤掉非法字符,以免黑客通过网址注入。
5、安装SSL证书
使用HTTPS访问,加密数据以防止数据中途被窃取,维护数据的完整性,确保数据在传输过程中不被改变。
6、URL静态化处理
网站页面生成静态HTML页面或使用伪静态。
7、数据定期备份
数据库定期备份,网站程序每次修改前进行一次备份,当网站被攻击或文件及数据丢失时,可以尽快恢复。
8、开源程序谨慎选择
现在有很多免费的开源程序,有的程序是被人修改过的,可能留有后门。如果是使用正规的开源程序,需要及时更新版本修复漏洞。