汕头澄海一家做继电器出口的电子厂，去年三月官网被挂马，首页被替换成博彩页面，挂了两天才发现。老板起初以为是DNS劫持，折腾半天才定位到CMS后台一个过期的上传插件。这事在汕头电子电工圈子里不算孤例——多数中小企业的网站运维还停留在“能打开就行”的阶段，安全防护几乎是裸奔状态。电子电工行业有它的特殊性：产品参数页多、询盘表单多、老客户常通过官网查规格书，网站一旦出问题，丢的不只是流量，还有订单信任。
先说最基础也最容易被忽略的Web应用防火墙部署。汕头这边不少企业网站跑在虚拟主机上，服务商送的WAF规则库半年不更新，对新型SQL注入和XSS跨站脚本基本没反应。靠谱的做法是自建ModSecurity规则集，或者至少选个支持OWASP CRS的云WAF，把规则调成拦截模式而非仅记录。澄海有家做电源适配器的企业，去年在WAF日志里发现有人反复试探/product_detail.php?id=这个参数，手动加了条正则过滤，三天后同一IP段又来了二十多次盲注请求，全被挡在外面。这种针对性规则比通用防护管用得多。
文件上传漏洞是电子电工企业站的重灾区。产品画册PDF、规格书Excel、认证证书图片，这些上传入口如果只靠前端JS校验后缀名，等于没设防。后端必须做MIME类型检测加文件头校验，上传目录要禁用脚本执行权限。潮阳有家做PCB板的公司吃过亏——攻击者传了个伪装成.jpg的webshell，因为目录权限没收紧，直接拿到了服务器控制权。后来他们运维在Nginx配置里加了location ~* /uploads/.*\.(php|jsp|asp)$ { deny all; }，才算堵住口子。顺带提一句，上传文件重命名时别用原文件名，时间戳加随机哈希更稳妥。
数据库安全这块，汕头电子电工企业普遍用MySQL，但很多运维图省事，数据库账号直接给root权限，还允许外网访问。正确做法是建独立应用账号，只给SELECT/INSERT/UPDATE权限，绑定localhost访问。定期用mysqldump做逻辑备份，备份文件加密后传到异地——去年潮南有家企业服务器被勒索病毒加密，备份文件跟网站在同一块硬盘上，一起完蛋。后来他们改成每天凌晨自动备份到另一台内网机器，再用rclone同步到对象存储，成本不高但踏实。
日志审计和入侵检测得提上日程。多数企业站只开了access.log，error.log都不一定看。建议部署轻量级HIDS，比如Wazuh或者OSSEC，监控关键目录的文件变更。电子电工企业网站的产品图片和PDF文件平时不会频繁改动，一旦/uploads/目录出现新的.php文件，或者/etc/passwd被读取，立刻触发告警。汕头金平区有家做传感器的公司，运维在OSSEC里配了条规则：监控网站根目录下所有新增的.sh和.pl文件，某天凌晨两点收到邮件告警，上去一看果然有人试图上传挖矿脚本，及时清掉了。
传输层安全别只盯着HTTPS证书。TLS版本要强制1.2以上，禁用RC4和3DES这些弱加密套件。HSTS头记得加，防止SSL剥离攻击。还有个细节——不少企业站用了CDN，回源协议如果还是HTTP，那前端HTTPS等于白配。检查一下CDN配置里的“回源协议”选项，改成HTTPS回源，顺便开启回源鉴权，别让攻击者绕过CDN直接打源站IP。
最后说个偏门但实用的：定期做目录扫描和敏感文件排查。汕头电子电工企业网站常见备份文件泄露——www.zip、database.sql、.env这些文件如果放在web根目录下，等于把家底晾在公网上。写个脚本每周跑一次dirsearch，字典里加上常见备份后缀和编辑器临时文件（.swp、.bak），发现就删。还有phpinfo()页面、测试用的debug.php，上线前必须清理干净。澄海那家继电器厂后来养成了习惯：每次发版前用grep搜一遍代码里有没有硬编码的数据库密码，有就改成环境变量。这活儿不复杂，但能挡住大部分低级失误。
