惠州一家做工业压力变送器的企业上个月差点栽了个跟头。技术部小陈图省事，把调试用的测试账号密码设成了公司缩写加123，结果网站后台被爬虫扫到，产品参数页面被植入暗链，百度快照里直接挂着博彩关键词。老板接到客户电话问“你们是不是转行了”才反应过来。这事在惠州仪器仪表圈子里传开之后，好几家同行连夜改密码——行业里做压力表、流量计、温控器的企业，网站安全运维的弦确实绷得太松了。
仪器仪表企业的网站有个特殊性：产品参数页往往挂着PDF规格书、选型表、安装尺寸图，这些文件是销售和技术支持的核心资产。惠州不少企业把CAD图纸直接传在网站上供客户下载，文件命名还带着“XX型号法兰尺寸终版”这种信息。攻击者根本不需要攻破数据库，爬虫顺着目录遍历就能把整套技术资料打包带走。仲恺一家做液位计的企业就吃过亏，竞品拿着他们官网下载的图纸改了个LOGO去投标。安全运维得先把附件目录的索引功能关掉，再给每个下载链接加上时效性令牌，这两步比装什么防火墙都实在。
网站后台的登录入口是另一个重灾区。仪器仪表企业普遍用外包建站，后台路径清一色是/admin或者/login，弱口令问题反复出现。惠州江北一家做热电偶的厂子，运维图方便把FTP账号和网站后台账号设成同一个，结果外包公司离职员工用旧密码登进去把首页轮播图换成了催债广告。现在他们学乖了：后台路径改成随机字符串，登录加短信验证，FTP单独开账户且只允许内网IP访问。这些操作不复杂，但需要有人盯着执行。
说到盯，很多企业觉得网站交给外包就万事大吉。惠州水口一家做流量计的企业，外包合同里写着“每月安全巡检”，实际上外包公司半年没登过服务器。直到网站被挂马跳转到赌博页面，老板才发现巡检报告是复制粘贴的。安全运维不能全甩给外包，企业自己得留个懂行的人定期看日志。哪怕只是每周翻一遍服务器访问记录，也能发现凌晨三点来自越南IP的批量登录尝试——这种异常日志外包公司不会主动汇报，得自己盯。
仪器仪表行业还有个容易被忽略的点：产品展示页的图片和视频。惠州不少企业拍完车间生产视频直接传原片，视频元数据里带着拍摄设备的GPS坐标和车间布局信息。更常见的是产品图片的EXIF信息没清除，竞争对手下载原图就能看到拍摄时间、设备型号甚至镜头参数。安全运维得在图片上传环节加一道自动清除元数据的处理，这事儿交给建站公司写个脚本就能解决，但十家企业里九家没做。
老旧的CMS系统是悬在头上的剑。惠州仪器仪表企业建站高峰期在2015年前后，大量网站跑着PHP5.6加织梦或者帝国CMS，这些版本早就不更新补丁了。惠阳一家做压力表的企业，网站后台的编辑器组件存在已知的上传漏洞，攻击者传个伪装成图片的webshell就能控制整台服务器。他们后来迁移到新系统时发现，旧服务器上还跑着三个没人记得的测试站点，其中两个数据库里存着2018年的客户询盘记录。安全运维的第一步其实是资产盘点——把域名、子域名、服务器、数据库、第三方接口全部列清楚，关掉不用的，升级该升的。
网站安全运维在惠州仪器仪表行业不是技术问题，是管理习惯问题。密码策略、日志审查、附件权限、元数据清理、旧系统退役，这些事单拎出来都不难，难的是有人定期做、有人检查做没做。那位差点被博彩暗链坑了的老板现在定了条规矩：每月最后一个周五下午，技术部全员花两小时过一遍网站安全检查清单，做完签字存档。土办法，但管用。
