针对Web应用的恶意攻击：扫描、注入与上传防护
摘要：# 网站天天被“敲门”，你的门锁够结实吗？ 嘿，朋友们，咱们今天聊点实在的。 我前两天帮一个做电商的朋友看后台日志，好家伙，那场面简直像春运火车站——每分钟几百个陌生IP在门口转悠，有的在拧门把手（扫目录），有的在尝试撬锁（SQL注入），还有的想方设法…
网站天天被“敲门”，你的门锁够结实吗？
嘿，朋友们，咱们今天聊点实在的。
我前两天帮一个做电商的朋友看后台日志，好家伙，那场面简直像春运火车站——每分钟几百个陌生IP在门口转悠，有的在拧门把手（扫目录），有的在尝试撬锁（SQL注入），还有的想方设法往你家门缝里塞小广告（上传木马）。
这可不是什么个别现象。说白了，只要你的网站能访问，这种“敲门”就从来没停过。 很多人觉得，我网站小，没名气，黑客看不上。这想法就跟“我住老破小，小偷不会来”一样天真。现在的攻击啊，早就是自动化、批量化作业了，人家是开着“扫地机器人”满互联网溜达，见门就推一把，推开了就进去“零元购”。
所以今天，咱们不整那些虚头巴脑的“安全战略”，就掰开揉碎了讲讲，针对Web应用最常见的三种“敲门”方式——扫描、注入和恶意文件上传，你到底该怎么防。我保证，不用你背一堆术语，咱们就用修自家防盗门的思路来聊。
一、扫描：别让“踩点”的把你家底摸清
想象一下，你每天回家，是不是发现门口多了些奇怪的记号？或者总有些陌生人在楼道里晃悠，记你家门牌号、窗户朝向？这就是网络世界里的“扫描”。
攻击者第一步永远是“踩点”。他们用自动化工具，疯狂请求你的网站，比如：
yoursite.com/admin（看看有没有后台管理入口）yoursite.com/phpinfo.php（找找有没有泄露敏感信息的文件）yoursite.com/备份.zip（试试能不能直接下载数据库备份）
很多站点的第一个问题，就出在这儿：暴露了太多不该暴露的东西。 我见过最离谱的，把带数据库密码的配置文件直接放网站根目录下，名字就叫 config.inc.php，这不等于把钥匙插在门上吗？
怎么办？几个接地气的法子：
- 该藏的藏好：后台管理地址别用默认的
/admin或/wp-admin，改个生僻点的路径。那些测试用的、临时上传的文件，用完赶紧删。这叫 “源站隐藏” 的基础——别让人一眼看穿你家户型图。 - 设置“门禁规则”：在服务器层面（比如用Nginx/Apache的规则）或WAF（Web应用防火墙）里，直接屏蔽那些频繁“踩点”的IP。如果一个IP在一分钟内请求了上百个根本不存在的页面（比如疯狂试探
/wp-content/xxx,/phpMyAdmin），那它大概率不是正常人，直接拉黑名单。这招能挡住90%的自动化扫描工具。 - 别给错误提示“说太多”：当用户访问一个不存在的页面时，返回一个统一的、简单的“404页面未找到”就行了。千万别傻乎乎地提示“数据库连接失败”或者“未找到表‘users’”——这等于告诉小偷：“嘿，我家门是铁的，但锁是塑料的，你使劲！”
说白了，防扫描的核心就一句：保持低调，减少信息泄露，让自动化工具觉得你这儿“没啥油水”或者“不好惹”。
二、注入攻击：别让坏人在你家门口“套话”
如果说扫描是“踩点”，那注入攻击就是“套话”。
最常见的就是SQL注入。你家网站有个登录框对吧？正常用户输入用户名密码。但攻击者可能输入 admin' OR '1'='1 这种鬼东西。如果你的网站后台傻乎乎地把这句话直接拼接到数据库查询命令里，它就变成了：“给我找用户名为admin，或者1等于1的用户。”——1当然永远等于1，结果就是，他不用密码就能以管理员身份登录。
这玩意儿危害极大，能直接偷走你数据库里所有用户信息、订单数据，甚至拿到服务器控制权。
怎么防？别怕，现在真没那么复杂：
- “参数化查询”是金钟罩：这是开发人员的事，但你必须知道这个词。它的原理是，把用户输入的数据和代码指令彻底分开。就像你去银行取钱，柜员让你填单子（数据），但他绝不会按照你单子上写的“把金库门打开”去操作（指令）。现在主流的编程框架（比如Spring, Django, Laravel）都内置了这功能，如果你的程序员还在用字符串拼接SQL语句，你可以直接让他“下课”了。
- WAF是你的“保安”：对于已经上线的老系统，代码一时半会儿改不动怎么办？上WAF。它就像在门口站了个保安，能识别出
union select,sleep(这些典型的“套话”语句，直接在门口就给拦下来。市面上很多云WAF，接入快，能防住大部分已知的注入攻击模式。 - 最小权限原则：给网站连接数据库的账号，只赋予它最小、必须的权限。比如，它只需要从“商品表”里读数据，那就绝对别给它删除“用户表”的权限。这样就算被注入，损失也有限。
防注入，说白了就是 “不相信任何从门外递进来的纸条”，一切用户输入都先当成“可疑物品”严格检查。
三、恶意文件上传：别让“快递炸弹”进家门
这是最让人头疼，也最容易出大事的一环。网站允许用户上传头像、分享图片文档，这功能很常见吧？攻击者就钻这个空子。
他把一个木马程序（比如 shell.php）的文件名改成 开心一刻.jpg，或者把木马代码藏在图片文件的元数据里，然后上传。如果你的网站只检查了文件名（哦，是.jpg），没检查文件的实际内容，就让他传上来了。接下来，他只需要访问这个“图片”的链接，里面的恶意代码就会被执行，你的服务器就“沦陷”了。
这种攻击，一旦成功，杀伤力是核弹级别的。
防护必须多管齐下，筑起三道防线：
- 第一道防线：白名单制度。只允许上传你明确需要的文件类型，比如头像就只允许
.jpg,.png,.gif。别用什么黑名单（禁止.exe, .php），那根本防不住，改个后缀或者伪装一下太容易了。这是铁律。 - 第二道防线：内容检查+重命名。不能光看后缀名，要用技术手段检查文件的真实类型（比如通过文件头信息）。更重要的是，文件上传后，立刻给它改个随机的新名字，比如把
用户上传的简历.doc改成a3f8e7c1.doc，并存储在Web目录之外。这样，即使它是个木马，攻击者也不知道访问地址是啥。 - 第三道防线：隔离与降权。专门用一个独立的服务器或存储桶（比如OSS、COS）来放用户上传的文件，并且这个存储服务绝对不能有执行程序的权限。它就是个“仓库”，只负责存，不准跑任何代码。同时，定期用杀毒软件扫描这个仓库。
记住，对待文件上传功能，你要像机场安检一样多疑。宁可错杀（误拦正常文件），不可放过。
写在最后：安全是个“过程”，不是“产品”
聊了这么多，你可能觉得，是不是买个最贵的高防WAF、高防IP就高枕无忧了？
真不是。 我见过太多客户，钱没少花，买了号称“无限防”的套餐，结果因为一个弱密码或者一个老旧插件漏洞，被人轻松拿下。很多所谓防护方案，PPT很猛，真被打的时候就露馅了。
真正的防护，是一套组合拳：
- 代码写扎实（防注入是根本）。
- 配置做严谨（该隐藏的隐藏，权限收收紧）。
- 用靠谱的WAF和高防服务扛住流量攻击和常见Web攻击。
- 最重要的，是人得警惕：定期看日志（别嫌烦，日志里全是故事）、及时更新补丁、对员工进行基础的安全培训。
安全没有一劳永逸，它就像给自家房子做维护，得经常看看门锁锈没锈，窗户关没关严。如果你的源站现在还处于“裸奔”状态，看完这篇文章，你心里其实已经有答案了，对吧？
行了，不废话了，赶紧去检查一下你的“门锁”吧。