道路千万条，安全第一条，开发不规范，用户两行泪

[demolibs]

事件背景： 昨晚我们线上服务被恶意调用了，出现大量随机请求，猜测是想暴力破击我们管理后台，窃取用户数据。

部分服务器日志截图：

https://static.demolibs.com/v2ex/%E8%A2%AB%E8%B0%83%E6%88%8F%E4%BA%86.jpg （ PS：充值 V2EX 会员后，图片还是没法上传，所以用的七牛云，V 友见谅）

所以想跟 V 友们一起讨论下网站安全的措施，防范于未然。

目前我们的安全措施：

一、运维方面：

1、所有服务器都禁用 root 登陆功能，防止被别人通过 root 暴力破解。

2、程序部署、数据库都用不同的账号管理，不同账号职责不同。

3、数据库一定要设置密码，特别说明：MongoDB、Redis 是默认没有密码的。

二、程序方面：

1、程序部署最好用 Git 统一管理。区分 master、test、dev 等环境，紧急修复问题用 fix_分支。

2、程序日志一定要打印好！访问日志、404 等错误日志都要打印，监控异常。

3、日志里边要添加 IP 地址，为了以后对恶意请求做限制（当然，如果遇到 DDoS 攻击的话，光这点肯定不够）

一起讨论下安全吧

V 友们还有其他的安全测录？一起来分享一下，互相抱团更安全。

关于我们

我们初创的网站：呆萌库 | 一个自由定制的主页 网址： https://demolibs.com/ 留言板： https://support.qq.com/products/96596

[fanyingmao]

感觉爆破密码还是比较困难的，没设密码端口外放有遇到过一些。

[lc7029]

1，服务器只允许内网登陆，且登陆必须通过堡垒机。
2，服务按类型部署在内网，ACL 控制内网间调用。比如 10.0.0.0/24 给核心网，10.0.1.0/24 给安全设备，10.0.2.0/24 给数据库，数据库不能访问核心网等。
3，内网部署安全设备，比如 DDOS 防火墙，流量清洗，堡垒机，数据库审计，IPS 等设备。
4，CDN 配置 WAF 功能。
5，想起来再写。

[demolibs]

@struggle001 多谢您的建议。
我们的服务器只暴露业务相关接口，链路如下：
http 请求 -> 云服务器(centos) -> 服务器防火墙(firewalld) -> Nginx -> 后端业务程序。

SQL 防注入是个很古老，很重要的问题，项目内部代码审核还是很有必要的，尤其是 SQL 注入和满 SQL。

[demolibs]

@Andy1999 好滴~~ 云服务商的高防，让开发运维又轻松了不少

[demolibs]

@zarte “挑了几条在 nginx 上弄重定向到百度搜索我的站点的连接”
这操作听起来很赞👍啊

[demolibs]

@cydian 多谢啦，能收到用户的反馈，是我们最大的期望。
请发到我们的邮箱吧： [e-mail]

[demolibs]

@l4ever 堡垒机确实很安全，做到内网隔离。
一般大公司都是有专门运维团队来搭建的。
初创公司，我们目前还没有对接这块，以后业务起来，确实得加上。
中小公司，可以用云服务商的堡垒机服务，一个月几千块吧。

[demolibs]

@fanyingmao 主要是看过很多博客提过，安全意识不到位的问题还是挺多的，就是做好预防
1、开放 ssh 接口，默认登陆账号 root、密码 root 或 123456 等简单密码。
2、管理后台，账号 admin、密码 admin
3、MySQL、MongoDB、Reids 密码过于简单，甚至默认没有密码。

[demolibs]

@lc7029
“
1，服务器只允许内网登陆，且登陆必须通过堡垒机。
2，服务按类型部署在内网，ACL 控制内网间调用。比如 10.0.0.0/24 给核心网，10.0.1.0/24 给安全设备，10.0.2.0/24 给数据库，数据库不能访问核心网等。
3，内网部署安全设备，比如 DDOS 防火墙，流量清洗，堡垒机，数据库审计，IPS 等设备。
4，CDN 配置 WAF 功能。
”

膜拜运维大神🙏

[struggle001]

@demolibs 麒麟堡垒机 了解下。

[struggle001]

@lc7029 说实话 运维稍微上点心 就不会被黑，程序有问题除外。

[lc7029]

@demolibs 额。。。我是网管啊。。。

[656002674]

看到#10 突然觉得正确的回复应该是这样的：

运维请联系我，比楼上老哥便宜一块钱。

溜了