网站被入侵这件事，多数情况并不是攻击者技术有多厉害，只是站点基础防护工作没落实。不少站长把网站上线之后就很少维护，程序安装之后一直沿用旧版本，插件只要还能运行就不更新，后台密码设置得也很随意。攻击者不会单独盯着某一个站点研究，写好扫描脚本全网批量探测，哪里防护有漏洞就从哪里进入。所以防范入侵，优先把基础防护做到位，而不是去钻研各类高深技术。
程序更新需要持续重视。你使用的CMS、插件、主题，只要存在公开漏洞却没有打补丁，就相当于给攻击者留了入口。WordPress这类程序尤其突出，插件生态庞大，质量参差不齐，部分插件停止更新还继续使用，漏洞风险会一直存在。能开启自动更新就开启，无法自动更新的站点，至少每月手动检查版本。盗版主题、破解插件不要使用，里面可能暗藏恶意代码，不要为了节省成本，让整个网站承担被入侵的风险。
密码和登录入口，也是容易失守的环节。后台账号密码不要选用admin、123456、网站域名加数字这类简单组合。数据库密码和后台管理密码分开设置。条件允许的话开启二次验证，登录时额外填写动态验证码，就算密码泄露，外人也无法登录。像WordPress默认的wp-admin登录地址，可以修改路径或者增加访问限制。同时限制登录失败次数，连续输错五次就锁定账号半小时，能够阻挡大部分暴力破解尝试。默认用户名admin尽量修改，不给攻击者减少猜解成本。
文件权限和数据库权限，很多建站者会忽略。Linux服务器环境下，目录权限一般设755，文件权限644，上传目录严禁赋予执行权限，防止攻击者上传PHP脚本直接运行。网站连接数据库不要使用root账号，单独新建数据库用户，只分配增删改查的必要权限，删除表、修改表结构这类权限尽量关闭。数据库表前缀不要使用默认的wp_，虽然挡不住精心定向攻击，但可以过滤大量自动化扫描脚本。
备份平时看不出作用，站点被入侵之后就是救命手段。备份文件不要保存在同一台服务器，如果服务器遭到入侵，备份文件很可能一并被篡改或删除。可以定期下载到本地设备，或者上传到其他云存储平台。备份频率根据网站内容更新节奏调整，内容展示站点一周备份一次就足够，电商、论坛类站点最好每日备份。备份完成之后，偶尔测试恢复流程，避免真正需要恢复的时候，才发现备份文件损坏。
服务器层面防护不能完全依赖网站程序本身。安全组只开放业务必需端口，SSH登录放弃密码认证，改用密钥登录，禁止root账号直接远程登录，SSH端口也可以修改。部署防火墙，云服务商大多提供免费WAF或者主机安全产品，可以拦截大量扫描行为和注入攻击。使用CDN隐藏源服务器IP，攻击者获取不到真实服务器地址，很多攻击手段就无法实施。HTTPS现在属于基础配置，不只是加密传输数据，浏览器和搜索引擎还会标记未配置HTTPS的站点为不安全。
管理员自身操作习惯，比各类技术配置更难坚持。不要在公共WiFi环境登录网站后台，邮件内不明链接不要随意点击，尤其是提示网站异常、引导点击处理的消息。管理员本地电脑安装杀毒软件，一旦电脑中木马，浏览器保存的后台账号密码很容易被盗取。多人共同管理站点，权限做好划分，编辑账号只分配编辑权限，不要全员使用管理员账号。员工离职之后，对应的后台账号立刻禁用或者删除，这件事不能拖延。
访问日志是很有用的排查资料，但多数站长不会查看。日志里面如果出现大量来自同一个IP的POST请求，短时间批量产生404页面记录，或是持续探测后台路径，这些都属于异常信号。安装安全插件或者日志分析工具，持续监控站点状态，出现异常发送邮件告警。服务器发现陌生文件，特别是文件名乱码、修改时间异常、内容无法识别的文件，及时隔离删除。删除前保留样本，方便后续追溯入侵路径。
网站防护不存在一劳永逸的方案，没有任何插件安装之后就能高枕无忧。安全维护更偏向日常习惯，版本更新、定期备份、查看日志、管控账号密码和权限，每一项操作难度都不大，难点在于长期坚持。每周花十分钟检查站点安全状态，远比出事之后熬夜清理木马、恢复数据、安抚用户轻松。