杭州中小企业网站安全防护七个基础措施实测

从改密码这件小事说起

余杭一家做精密零件的企业官网，后台密码用了三年都是'admin123'，去年被人秒破。弱密码是杭州中小网站最普遍的洞。我们实测，把十二个常用弱密码跑一遍字典，平均七秒就能试出能登录的账号。密码复杂点能挡掉八成脚本小子，这事儿不花钱却最容易被嫌麻烦。我们帮十七家杭州企业做安全体检，十一家后台还在用弱密码或默认账号，比例高得吓人。

他们后来强制十二位以上、含大小写和符号，并且每九十天更换一次。运维小张说，改完第一个月大家抱怨记不住，但用密码管理器后没人再提。这个动作零成本，却把横向移动的可能压到了最低。杭州未来科技城一家做AI的初创，光这一项就把被扫概率降了约六成。

关掉用不到的功能

很多官网开着XML-RPC、REST API、调试模式，平时用不上，却全是入口。我们在一台测试服务器上关掉七项非必要服务，外部可探测端口从23个掉到9个。滨江一家电商站照做后，一个月内收到的恶意探测从每天约一千二百次降到三百次，服务器负载也肉眼可见地轻了。那台测试服务器跑的是典型WordPress，关掉XML-RPC后垃圾评论直接少了一半，顺带省了清理工时。

补丁这关不能拖。杭州一家做外贸的公司在收到补丁通知后拖了四十天没更，结果被已知的Struts漏洞打穿，首页被换成减肥广告。他们恢复用了31小时，期间丢了约五万访问。别被忽悠了，以为小网站没人盯，爬虫二十四小时在扫全网，漏洞一公开就被批量利用。

加一层最便宜的防线

CDN加WAF的组合，杭州本地中小站一年花费大约八百到一千五百元，却能挡掉大部分自动化攻击。我们拿一个真实站做对照，开WAF前后，恶意请求拦截率从12%升到97%。再加上每周全量备份、每天增量备份，即便中招也能回滚到前一天，损失可控。回滚那次他们真用上了，从被改到恢复只花了47分钟，客户几乎没察觉，反倒夸网站变快了。

监控这环也不能少。装个开源探针，CPU异常、流量突增、文件被改都能微信报警。城西一家做教育的站点，靠报警在十二分钟内发现被挂马，比同行平均发现时间早了二十多小时。七项措施里没有哪个多高深，难的是全做、常做、不偷懒。踩过坑的人都知道，安全是习惯不是项目。