去年秋天，常熟梅李镇一家做棘轮扳手的外贸厂，网站被挂了两天马。老板老周接到波兰客户邮件问“你们官网怎么在卖减肥药”，才晓得出了事。技术员一查，后台弱口令，攻击者从一条没打补丁的插件评论接口钻进来，顺手把产品图全替换成了菠菜广告。老周后来算账，丢了三张返单，修站花掉八千，谷歌收录掉了四成。常熟这地方，光辛庄镇就有几百家五金工具厂，官网多半是外包做的展示站，跑在便宜虚拟主机上，老板只管接单，谁盯着安全？可五金这行当，客户来自德国、波兰、越南，人家点开你网站先看有没有HTTPS小锁，再看页面干不干净。网站就是门面，门面被人泼了漆，生意还怎么做。
第一步，把后台入口藏起来。别再用/wp-admin这种默认路径，常熟好多五金厂网站用的还是五年前的模板，后台地址全地球都知道。改个自定义路径，顺手把默认管理员账号“admin”删掉，换成带随机字符的用户名。老周那站就是被撞库撞开的，密码设成“jinshu123”，跟没设一样。
第二步，插件和主题别贪多。五金工具企业站不需要花哨功能，产品展示、询盘表单、PDF目录下载，三样够用。每多一个插件就多一个漏洞入口。辛庄有家做套筒的，装了七个插件，其中三个两年没更新，最后被利用上传了webshell。每月花十分钟看看更新提示，比出事再找人便宜得多。
第三步，强制HTTPS并锁死后台登录尝试。Let's Encrypt证书免费，装完把HTTP跳转全指到HTTPS。登录页面加个限制，同一IP连续错五次锁半小时。常熟很多厂网站连登录日志都不开，被爆破了几万次都不知道。
第四步，文件权限收窄。图片目录给写权限就是给攻击者留门。上传目录设成755，禁止执行PHP。老周后来发现攻击者传了个“产品图.jpg.php”进去，服务器照跑不误。在nginx里加一条location规则，上传目录只允许静态文件，这条规则救过至少三家支塘镇的企业。
第五步，数据库前缀改掉，别用wp_。顺手把数据库用户权限降到只读写当前库。定期导出备份，备份文件别放网站根目录下——去年常熟有家做水平尺的，备份包放在/download/里，被直接下载走了客户询盘数据。
第六步，装个轻量WAF或者至少开主机商的基础防护。虚拟主机面板里通常有免费防火墙，把常见SQL注入和XSS规则勾上。别指望它挡所有攻击，但能拦掉八成脚本小子的扫描。老周现在每周看一次拦截日志，发现有人试/.env文件，直接封IP段。
第七步，监控文件变动。五金站页面一个月不改一次，文件突然多出个陌生PHP，八成有问题。用主机面板的文件监控功能，或者简单点，每周用FTP拉一份文件列表对比。梅李有家做拉铆枪的，靠这招发现过一句话木马，藏在images目录里，文件名伪装成logo.png。
第八步，也是常熟老板最容易忽略的——把安全运维写进外包合同。别只问“网站多少钱”，要问“多久打一次补丁、出安全事件谁负责、有没有备份恢复演练”。辛庄五金商会去年统计过，八成企业网站合同里没提安全维护条款。老周现在每季度让技术员出一页纸的安全报告，插件版本、备份时间、登录失败次数，签字存档。麻烦？比丢客户简单多了。
五金工具这行利润薄，一单扳手赚不了几块钱，但网站被黑一次，修复成本够卖两千把棘轮扳手。常熟企业主习惯把网站当电子画册，可画册挂在公网上，就得有人看着。八个步骤不复杂，花半天做完前六步，剩下两步靠习惯。老周上个月把网站迁到了带每日备份的主机，后台登录加了短信验证，跟我说了句实在话：“以前觉得安全是技术员的事，现在明白，老板不盯着，技术员也懒得动。”
