如何保护我的网站

Question

我知道保护任何网站都是一个非常艰难和广泛的主题,我想讨论这个问题,但我想将这个问题与我一直在研究的特定网站联系起来.它在2004年左右被其他程序员用PHP编码,我负责管理.我的问题是它一次又一次被黑客攻击.当它被黑客入侵时我注意到了以下事情.

1. .htaccess 文件已被修改
2. index.php和config.php文件被修改
3. 管理员密码已更改
4. 上传服务器中的文件
5. 更改文件和文件夹的文件权限

我已经编写了代码,它已被正确转义,我认为没有SQL注入的可能性.由于大多数问题与文件和权限有关,我对服务器安全性有疑问,但由于它是在2004年左右编码的原因肯定会缺少一些安全性,所以我需要在我的代码中处理其他什么工作.防止我的网站因上述问题遭到攻击？

提前致谢.

Answer 1

由于文件已被修改,因此SQL注入错误不太可能.

获取文件的可能性:

• 猜猜/窃取您的FTP密码
• 破解服务器(你无法真正做任何事情)
• 服务器上的隔离不足,这意味着其他客户可以更改您的文件(您无法对此做任何事情)
• 远程代码执行错误

既然你说这个网站是从2004年开始的,它可能是eval用于模板化或include类似的东西site.php?section=foo,然后包含foo.php在2004年的频繁处理的代码中.所以我会快速搜索eval和正则表达式include(.*\$.*)以及require(.*\$.*).这些都是主要的嫌疑人,取决于他们的使用方式.