关于网站安全的一点心得，和大家分享下

[ioioioioioioi]

1. 网站要备份，异地备份。 不想花钱的方法是 在本地 linux 电脑上定时运行 rsync
2. 用 Acunetix 软件扫描网站
3. 服务器取消 ssh 密码登录
4. MySQL 不用 root
5. 内部服务设置 IP 限制

欢迎补充交流。

---
这是我之前发的帖子： https://www.v2ex.com/t/548308#reply17

后续就是黑客要比特币付款，不敢露出真面目。感觉上黑客来自土耳其。再后来我们一个数据库被删掉，我们也就断了和黑客交易的想法。

然后就是内部查阅所有代码，修复了所有 SQL Injection 漏洞，各种 IP 限制等，目前还算平稳。

对于在那个帖子说给点钱报答人家的，我也不骂你，祝你好运。

[ioioioioioioi]

@oIMOo 我们网站项目代码有 git， 通过 git status 发现有文件被篡改了

[Myprincess]

域名被劫持怎么弄呀。我的 8 个域名被劫持了。全部转到奥们 X 场。

[NjcyNzMzNDQ3]

@ioioioioioioi 同有 git，今天立马禁止了，不禁止后果太严重了

[NjcyNzMzNDQ3]

@Myprincess 如果 dns 解析正确的话，试试禁用 js 看跳转不，如果还跳转那就是服务器代码的问题

[Myprincess]

@NjcyNzMzNDQ3 就是用的是 WP,后台全部 被改,然后输入域名全部跳转到别人的网站上去.服务器上没有问题,怀疑是网站 被注入木马.很多次了.腾讯老是打电话过来说我的网站 有问题.

[ioioioioioioi]

@NjcyNzMzNDQ3 可否详细解释下，不禁 git 有什么后果？

[NjcyNzMzNDQ3]

@ioioioioioioi git 源地址、明文账号密码、服务器项目目录结构

[NjcyNzMzNDQ3]

@Myprincess 哦，wp 的话你可以看看 wp_option 表里的 siteurl 是不是被改了，你要找不到我可以帮你

[alert1]

修改默认密码，不要把任何服务开放到外网，除了 mysql，还有 redis，mongodb 这种。做安服见过太多 redis 写 ssh key 与 mongo 直接勒索加密。

[ioioioioioioi]

@NjcyNzMzNDQ3 密码不进 git 的，git 目录 web 也是无法访问的

[KigKrazy]

* 外网统一使用 niginx 做一层隔离和过滤
* 数据备份推荐使用 borg + borgmatic,(本地两份，云端一份。)

[Myprincess]

@NjcyNzMzNDQ3 TVlQUklOQ0VTU0NO

[defunct9]

裸奔

[jetpy]

建议备份工作要做好， 自己构建异地备份可以某种程度上降低风险， 最稳妥的还是使用阿里云的混合云备份， 强烈建议， 价格不高， 本地要搭建起同样安全级别的备份策略花费会更高！