很多网站刚上线后出现的安全漏洞问题非常明显,作为小蚁云安全团队的我想给大家分享下在日常网站维护中碰到的一些防护黑客攻击的建议，希望大家的网站都能正常稳定运行免遭黑客攻击。

1.对上传文件的目录设定为脚本不能执行的权限

要是Web服务器没法解析该文件目录下的脚本文档，即便黑客攻击发送了脚本制作文档，网站服务器自身也不容易受到损害。许多商业网站的发送运用，上传文件之后放进单独的储存上，做静态数据文档解决，一方面使用缓存文件加快，减少服务器硬件耗损；另一方面也避免了脚本木马实行的可能。

2分辨扩展名，对发送的扩展名进行辨别

分辨扩展名时，结合使用MIMEType措施，文件后缀名查验等措施。在扩展名查验中，极力推荐使用白名单机制，而并不是使用黑名单的措施。除此之外针对上传照片的解决，使用缩小函数或是resize涵数，在处理照片的同时也将毁坏照片中将会包括的HTML编码。

3.对发送路径独立设定网站域名去访问

因为网站服务器都在同一服务器上，而且域名都不相同，一系列客户端攻击将无效，例如发送了包含JS代码的XSS跨站脚本指令攻击实行等问题将得到解决。是否可以这样设置，必须看实际的业务流程的具体环境。此外，上传文件作用，也要充分考虑病毒感染，木马病毒，SE图片视频，违规文档等与实际网络安全防护结合更密不可分的难题，则必须做的工作中就大量了。持续的发觉难题，结合业务流程要求，才可以设计构思出有效的，最安全性的上传作用。

SQL注入的防御

解决构思：

-寻找全部的SQL注入系统漏洞语句

-修复这种系统漏洞

1.使用预编查询语句

防护SQL注入攻击的最好措施，就是使用预编译查询语句，关连变量，然后对变量进行类型定义，比如对某函数进行数字类型定义只能输入数字。

2.使用存储过程

实际效果与预编语句相近，差别取决于存储过程必须先将SQL语句界定在数据库查询中。也肯定存在注入难题，防止在存储过程中，使用动态性的SQL语句。

3.查验基本数据类型

4.使用安全性函数

各种各样Web代码都保持了一些编号函数，能够协助抵抗SQL注入。

5.其他建议

数据库查询本身视角而言，应当使用最少管理权限标准，防止Web运用立即使用root，dbowner等高线管理权限帐户直接连接数据库查询。为每一运用独立分派不一样的帐户。Web运用使用的数据库查询帐户，不应当有建立自定函数和实际操作本地文档的管理权限，说了那么多可能大家对程序代码不熟悉，那么建议大家可以咨询专业的网站安全公司去帮你做好网站安全防护，推荐，鹰盾安全，小蚁网络，启明星辰等等公司都是很不错的。

QQ:786661572  微信 13238322438