雅雅蒂艺术建站编辑组发布时间：2026/10/15 1:12:55 来源：雅蒂艺术建站分类：艺术建站

铜陵建设网站防黑指南：3步排查+免费工具选型

昨晚刚交付的铜陵某建材厂官网，早上打开全是博彩链接，后台被删了日志。老板在群里@我，问是不是服务器中病毒了。别慌，90%的情况不是病毒，是权限漏洞。

网站被黑挂马，最忌讳乱重启服务器。那只会覆盖证据，让你查不出源头。作为在铜陵做了十年网站的老手，我见过太多企业因为不懂技术，被“技术外包”宰了上万块修复费。今天把这套排查逻辑和选型思路拆开了揉碎了讲给你听。

核心思路很简单：先止血，再查因，后加固。 全程不用花一分钱，全靠免费的开源工具和配置技巧。

应急排查：用免费工具锁定攻击入口

网站挂马后，第一反应往往是重装系统。错！重装前必须留存现场。

攻击者通常通过三种路径入侵：弱口令、已知CMS漏洞、文件上传漏洞。我们需要用免费工具快速定位。

1. 文件完整性比对

攻击者修改文件后，往往会留下修改时间戳。利用 Linux 自带的 find 命令，可以快速找出最近7天内被修改的敏感文件。

# 查找过去7天内修改过的 PHP 文件
find /var/www/html -type f -name "*.php" -mtime -7 -exec ls -l {} \;# 查找包含常见恶意代码特征的文件 (如 eval, base64_decode)
grep -r -l -E "eval\(|base64_decode\(|gzinflate\(" /var/www/html

如果 grep 命中了文件，直接打开看代码。如果看到乱码或者 <?php eval(base64_decode(...)) 这种结构，恭喜，找到马脚了。

2. Webshell 扫描

手动看代码效率低，推荐用开源的 D-Shell 或 Webshell 扫描器。这里以轻量级的 D-Shell 为例，它支持本地扫描。

下载解压后，在命令行执行：

# 假设 dshell 工具已放置在 /usr/local/bin
dshell -p /var/www/html -s

它会扫描目录下所有文件，标记出疑似 Webshell 的文件。对于铜陵本地很多用老版本 CMS（如帝国、织梦）的客户，这一步能救命。

3. 流量日志分析

服务器日志是铁证。Apache 或 Nginx 的 access.log 记录了所有请求。

# Nginx 日志分析命令，查找异常 IP
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

重点关注那些请求频率极高、或者请求了不存在的图片/PHP 文件的 IP。如果某个 IP 在短时间内请求了几百次 index.php?cmd=...，那基本就是攻击源。

技术选型：WordPress 与 ThinkPHP 安全对比

在铜陵，中小企业建站 70% 用 WordPress，30% 用定制开发（多为 ThinkPHP 或 Laravel）。这两者安全模型完全不同，选型决定了后期的维护成本。

很多运营人员觉得 WordPress 简单，但简单意味着插件多，插件多意味着攻击面大。ThinkPHP 代码可控，但要求开发者安全意识高。

对比维度	WordPress (CMS)	ThinkPHP (框架定制)
初始安全水位	中低 (依赖插件生态)	高 (代码逻辑自主)
攻击面	插件、主题、XML-RPC	代码漏洞、配置失误
更新频率	高 (核心+插件+主题)	低 (仅核心框架更新)
运维难度	低 (可视化后台)	高 (需懂代码)
SEO 友好度	高 (插件丰富)	中 (需手动优化)
被黑概率	高 (尤其老版本)	低 (若代码规范)

WordPress 的安全痛点：

大部分 WordPress 被黑，不是因为 WP 核心，而是因为插件。比如某些“SEO 插件”或“滑块验证码”插件，存在 SQL 注入漏洞。

ThinkPHP 的安全痛点：

ThinkPHP 5.x 早期版本存在著名的 RCE（远程代码执行）漏洞。如果铜陵有企业还在用 TP5.0 以下版本，那简直是裸奔。

选型建议：

如果是品牌展示站，内容更新少，选 ThinkPHP + 静态化。代码少，漏洞少，部署简单。
如果是内容营销站，需要运营人员频繁发稿，选 WordPress + 最小化插件。只保留必须的 SEO 插件，禁用所有“增强型”功能插件。

代码加固：从根源封堵上传漏洞

无论选哪种技术栈，文件上传接口都是重灾区。攻击者上传 .php 文件，改扩展名绕过检测，就能拿到 Shell。

这里给出两套代码配置，分别针对 PHP 应用层和 Nginx 服务器层。

方案一：PHP 应用层双重校验 (ThinkPHP/原生 PHP)

不要只信任前端传来的 MIME 类型，必须校验文件头和扩展名。

<?php
// 配置允许上传的文件扩展名白名单
$allowedExtensions = ['jpg', 'jpeg', 'png', 'gif', 'webp'];// 获取原始文件名
$originalName = $_FILES['avatar']['name'];
$fileExt = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));// 1. 扩展名校验
if (!in_array($fileExt, $allowedExtensions)) {die("Invalid file extension.");
}// 2. 文件头校验 (Magic Number)
$fileType = finfo_open(FILEINFO_MIME_TYPE);
$realMime = finfo_file($fileType, $_FILES['avatar']['tmp_name']);
finfo_close($fileType);$allowedMimes = ['image/jpeg', 'image/png', 'image/gif', 'image/webp'];
if (!in_array($realMime, $allowedMimes)) {die("File content mismatch.");
}// 3. 重命名文件，避免覆盖或特殊字符问题
$newName = md5(uniqid()) . '.' . $fileExt;
move_uploaded_file($_FILES['avatar']['tmp_name'], 'uploads/' . $newName);
?>

方案二：Nginx 服务器层拦截 (通用)

在 Nginx 配置中，直接禁止在特定目录执行 PHP 脚本。这是最底层的防线。

# 在 server 块中添加
location ~* \.(php|jsp|asp|aspx|cgi)$ {return 403;
}# 针对上传目录的特殊配置
location /uploads/ {# 禁止执行任何脚本deny all;# 允许静态资源访问 (如果是图片目录)# allow 127.0.0.1;# 确保不经过 PHP-FPMinclude none;
}

关键点：

上传目录（如 /uploads/）必须与代码目录隔离。如果条件允许，将上传目录放在 Web 根目录之外，通过 Nginx 反向代理映射。这样即使上传了恶意文件，Web 服务器也无法执行它。

部署优化：Cloudflare 免费层实战

服务器配置再好，如果直接暴露在公网 IP 下，还是会被扫描。这时候需要 CDN 和 WAF（Web 应用防火墙）。

对于铜陵的企业站，预算通常有限，Cloudflare 的 Free Plan 是最佳选择。它免费提供了全球 CDN 加速和基础 WAF 防护。

为什么选 Cloudflare？

隐藏真实 IP：攻击者无法直接扫描你的源站，只能攻击 Cloudflare 的边缘节点。
免费 WAF：可以自定义规则，拦截恶意请求。
免费 SSL：自动颁发和续期证书，省去 Let's Encrypt 配置的麻烦。

实操步骤：

在 Cloudflare 注册账号，添加域名。
将域名 DNS 解析指向 Cloudflare 提供的 IP（注意：NS 记录要改，而不是 A 记录）。
在 Cloudflare 后台，进入 Security -> WAF -> Custom Rules。

添加一条自定义规则：拦截已知恶意 UA

# 规则名称: Block Known Malicious Bots
# 表达式:
(http.user_agent contains "sqlmap" or http.user_agent contains "nikto" or http.user_agent contains "masscan"
)
# 动作: Block

添加一条自定义规则：限制高频请求

# 规则名称: Rate Limit Login Attempts
# 表达式:
(http.host eq "www.tongling-example.com" and http.request_uri contains "/wp-login.php"
)
# 动作: JS Challenge (要求浏览器执行 JS，脚本会被拦截)

参考 Cloudflare 文档：

根据 Cloudflare 文档 中关于 “Rate Limiting Rules” 的说明，针对登录页面的高频请求，使用 JS Challenge 比直接 Block 更有效，因为它能过滤掉自动化脚本，同时保留正常用户的访问体验。

SSL 设置：

在 Cloudflare 的 SSL/TLS 选项卡中，选择 Full (Strict) 模式。这意味着 Cloudflare 与你的源站之间也使用加密连接，防止中间人攻击。如果源站没有 SSL 证书，这个模式会报错，所以记得先在源站配置好自签名证书或 Let's Encrypt 证书。

选型建议与长期运维

回到开头的案例，那个建材厂网站之所以被黑，是因为用了 2018 年的 WordPress 版本，且管理员密码是 admin123。

给铜陵企业网站的选型建议：

技术栈选择：
- 内容少、更新慢：ThinkPHP 6.0+。代码精简，安全可控。
- 内容多、更新快：WordPress 6.0+。但必须精简插件，不超过 5 个。
服务器架构：
- 最低配置：1核 2G 内存，Nginx + PHP-FPM + MySQL。
- 必选组件：Cloudflare Free Plan（CDN + WAF）、Fail2Ban（防暴力破解）、Let's Encrypt（免费 SSL）。
运维习惯：
- 每周备份：数据库和文件，备份到异地（如阿里云 OSS 或腾讯云 COS）。
- 每月更新：核心系统和关键插件。
- 日志监控：定期查看 error.log 和 access.log，发现异常 IP 立即在 Cloudflare 封禁。