从一次真实攻击说起
今年3月，和平区一家做餐饮连锁的企业官网突然打不开了。技术排查发现，数据库被清空，对方留了一封勒索邮件，要求支付0.5个比特币。这事不算新鲜，但值得每个天津做企业的老板了解一下：你的网站可能正面临哪些攻击，以及怎么防。别被忽悠了，有些攻击听着高大上，原理其实很简单。
SQL注入：老套但依然管用
SQL注入排在攻击类型第一位，十多年了没掉过。原理就是黑客在网站输入框里填入恶意SQL代码，如果程序没做过滤，这段代码就会被数据库执行。河西区一家做电商的公司去年就中招了，用户登录页面的用户名框没做参数化查询，黑客通过它拿到了整个用户表，2.6万条用户信息泄露，光善后处理就花了3个多月。
防范也不复杂。所有用户输入都用参数化查询处理，别拼接SQL字符串。用WAF挡一层基本攻击。定期做代码审计，重点查跟数据库交互的地方。天津华苑的软件企业这方面做得相对规范，因为开发团队大多有安全编码培训。
跨站脚本攻击（XSS）
XSS是往网页里塞恶意JavaScript代码，用户访问页面时脚本自动执行，cookie和session信息就被偷走了。南开区一家培训机构的留言板被植入了XSS代码，半个月内37个用户账号被盗用。这问题出在留言内容没做HTML转义，用户输入什么就显示什么，包括script标签。
处理方法：输出到HTML的内容统一做实体编码，富文本用白名单过滤标签，CSP头部策略配上。代码量不大，关键是在开发阶段就养成习惯。
暴力破解和撞库
后台管理地址被人用工具批量尝试密码，就是暴力破解。撞库更阴，拿其他网站泄露的账号密码来试你的后台。红桥区一家做五金批发的商户，后台密码是admin888，被撞库登录后挂了暗链，百度收录了400多条赌博页面，权重从3掉到0，三个月才恢复。
对策很直接：限制登录失败次数，5次错误锁定IP 30分钟；加验证码；后台地址改掉默认路径；密码必须8位以上含大小写数字。这几招加起来，暴力破解基本没戏。
文件上传漏洞
上传功能如果不限制文件类型，黑客就能传一个伪装成图片的PHP文件上去，然后通过URL直接执行。北辰区一家做建材的网站就这么被拿下了shell。修复方法是白名单校验文件后缀和MIME类型，上传目录禁止执行脚本，文件重命名存储。东丽区一家做食品的工厂去年被同样手法攻击，后来把上传目录的PHP执行权限关掉，问题彻底解决。