网站安全管理

一、做好服务器安全

对于使用独立服务器的站长，服务器安全是一个非常重要因素，利用空闲时间多留意官方安全文档，如Apache的安全配置技巧、IIS技术资源中心等，对服务器系统进行适当的调整，提高安全性能。另外，下面两方面是目前攻击者利用率最高的，应特别留意。

1、文件“写”权限

很多时候，攻击者会利用“写”的权限，对网站文件注入恶意代码，导致出现“恶意软件”标记。使用IIS，应给每一个站点建立独立的用户，并利用NTFS权限设置，控制网站文件的写入权；使用UNIX系统，应利用好分组和用户设置，并谨慎设置“666”或“777”。

2、预防ARP攻击

ARP攻击目前已经很泛滥，受到攻击时访问网站会包含恶意软件，而你的服务器上并没有恶意软件或代码，攻击者利用ARP欺骗，将自己伪装成网关，截取服务器数据，并在发送出去的数据中插入恶意代码。

预防ARP攻击，可以安装ARP防火墙。但有个最简单的方法，在服务器系统中，将网关的IP与MAC地址绑定，这样服务器在发送数据时，会检查路由的MAC地址。可以联系服务提供商，咨询所在网段网关的MAC地址，而不要相信‘arp -a’取得的MAC地址，可能你用命令查到的就是欺骗者的MAC。

Windows系统：使用arp命令，绑定网关IP和MAC；将命令制作成批处理文件，让系统开机时运行。

arp -s 0.0.0.0 FF:FF:FF:FF:FF:FF

0.0.0.0 网关IP地址，FF:FF:FF:FF:FF:FF 网关MAC地址

UNIX系统：找到两种IP绑定MAC方法，根据需要选择一种绑定，推荐使用iptables。

二、从读写着手做好网站安全（UNIX环境）

对于使用虚拟主机的朋友来说，服务器环境是已经设定好的，一般来说不能更改，但服务提供商一般会处理好服务器的安全问题，我们能做的、要做的也就是网站部分的安全。

1、设置文件权限：使用UNIX环境空间的朋友，对文件的读写权限一定要注意。很多程序安装的时候需要对系统的文件可写，但是安装完成后，最好将这些文件设置为只读。一般情况下安装要求可写的文件是系统的设置文件，如果被攻击者利用，注入恶意代码后，整站都会包含恶意代码。

2、利用好.htaccess文件：.htaccess文件我们最熟悉的是利用它来使用rewrite、做301转向，但这只是它的功能之一，最强大的是能对Web很多参数进行设置，例如访问权限。

对于网站的敏感位置（如管理目录），可以使用.htaccess来限制访问来源位置为localhost，限制访问来源类型为.php等等……详细的说明可以参考这篇中文帮助手册，充分利用，保证网站安全。

3、注意目录的默认文件：一般情况下，Apache在访问目录没有默认首页的情况下，显示文件列表。那么，如果这个目录是数据备份目录，或网站备份、网站功能文件夹、资料夹，访问者轻易就能下载文件并获取到网站的管理信息，所有管理者帐号密码就可以任意修改网站，危险性是极高的。我们可以做一个空白的文件（如index.php、index.htm等）放到没有默认首页的文件夹中。