佬们，自己搭网站要做哪些防护呢

开发调优
,
1

如题，搭了个站。有时会收到一些奇怪的请求，访问不存在的路径。不知道是什么原因。

8 个赞
2

站主要是做什么的呀？

1 个赞
3

同求，希望有大佬解答

1 个赞
4

用户的管理页面的后端服务

1 个赞
5

要是做后端服务，是不是开个白名单就能解决好多问题了

1 个赞
6

是个好方法，但是这个后端还有为用户提供重定向服务的职能。所以不能用白名单

7

从 运营反馈 到 搞七捻三

8

那就用nginx 做个代理来拦截，让请求到不了服务就行

9

应该是蜘蛛自动扫的吧，或者有些人会搭脚本批量扫描可能存在的服务漏洞。

10

从我这几天学习论坛帖子的总结来看：

  • 尽可能套一个CF的真人检测，可以有效避免那些扫描脚本。
  • 上WAP。
  • NGNIX代理。

当然，主机的安全防护是基础，什么防火墙，最少用户最小权限原则，最少的端口，复杂密码，改端口，密钥登录之类的。

1 个赞
11

从 搞七捻三 到 开发调优

12

他们在扫你的路径，检测有没有管理入口和上传接口，如果你觉得不安全就设置一个防火墙。对境内访问延时要求不大使用 Cloudflare 免费版即可，也可以使用雷池自建一个防火墙。

1 个赞
13

话说CF上可以白嫖证书吗

14

那种扫描一般都是无差别的扫描，一般不需要理会，如果是特别影响业务，如资源占用过多，那可以套一层CDN ，现在很多CDN也有基础防护能力的，不过最重要的还是你网站的代码安全

15

不被扫描的站点不是好站点，都懒得扫你，证明没啥价值了

16

前置部署长亭的 waf 拦截恶意流量

17

#网络安全添加

18

访问不存在的路径是常事，就是来自各地的无差别扫描，忽略就行。如果频率太高可以加个频率限制（很多 waf 防火墙支持）。如果某一个 IP 特别猖狂，可以把 IP ban 掉（注意区分是不是 CDN 回源流量或者搜索引擎爬虫）

被扫描的比如一些漏洞、admin 登录地址、备份文件等等

> cat xxx.log | grep -oP "GET /\S*" | grep admin | sort | uniq -c | sort -nr | head -n 9
     21 GET /wp-admin/setup-config.php?step=1
     15 GET /wordpress/wp-admin/setup-config.php?step=1
     14 GET /wp-admin/
     13 GET /admin.php
     11 GET /sql/php-myadmin/index.php?lang=en
     11 GET /sql/phpmyadmin4/index.php?lang=en
     11 GET /sql/myadmin/index.php?lang=en
     11 GET /php-myadmin/index.php?lang=en
     11 GET /php-my-admin/index.php?lang=en

> cat xxx.log | grep -oP "GET /\S*" | grep backup | sort | uniq -c | sort -nr | head -n 10
     12 GET /wallet_backup.dat
      9 GET /backup/
      8 GET /backup.sql
      7 GET /backup/.git/config
      6 GET /backup.zip
      6 GET /backup.tar.gz
      6 GET /backup
      4 GET /wp-content/plugins/backup-backup/readme.txt
      4 GET /backup/wp-admin/setup-config.php?step=1
      2 GET /wp-content/uploads/db_backup.sql
19

安全方面，SSH 改用密钥登录开启防火墙，只开放必要端口 。每天定期备份数据库并存储到不同备份服务器上。写脚本统计网站访问日志，封禁高频访问的恶意ip。目前想到的就这些。

20

套个cloudflare