两步解决网站老是被上传木马后门问题

站长朋友们，基本上都遭遇过网页木马和网站后门吧！

其中最出名的当属“一句话木马”，因为非常简短，真的只有一句话（如下图），并且一般都嵌入到网站正常代码内，让人难以察觉。

（图一：一句话木马）

黑客入侵服务器往往都会先入侵网站，植入木马后门，再通过该木马后门进一步窃取服务器权限。

黑客植入木马后门主要有以下几种途径：在线上传漏洞、FTP信息泄露、跨站入侵。其中在线上传漏洞是最常用的途径，占比高达90%以上。

那么如何解决黑客上传木马后门呢？

删除在线上传模块？这肯定是最彻底的方法，没有在线上传功能的网站，被植入木马后门的几率几乎为零。不过这样操作会影响网站日常管理，反而并非最好的办法。

其实要防范木马后门，非常简单，只需做好以下两步：

1、 从物理层面限制，只允许管理员使用在线上传功能

2、 从物理层面限制，禁止上传PHP、ASP、ASP.net等动态脚本文件

一、从物理层面限制，只允许管理员使用在线上传功能

之所以加 “物理层面”，是因为有的管理员以为通过后台限制使用在线上传功能就可以了，这就大错特错了。

黑客是利用在线上传漏洞实施的入侵，因此即使后台管理权限关闭了在线上传功能，但对黑客丝毫不影响。

要从物理层面限制，即需要在网站外加一层防护限制。上传文件一般都存放在后台目录内，我们可以通过“护卫神.防入侵系统”的“网站后台保护”模块进行限制（如下图）。

（图二：护卫神.防入侵系统的网站后台保护模块）

我们只需要把后台地址和上传文件地址填写到保护框内，再设置一下“授权密码”就可以了。此时访问在线上传模块时会被拦截，必须先输入“授权密码”才能继续操作（如下图）。黑客自然是不知道授权密码的，也就从物理层面杜绝了黑客利用上传漏洞。

（图三：访问后台被拦截，必须输入授权密码方可继续）

为了方便使用，您可以为所在城市整体授权（黑客和您同城的几率非常非常低）。如图二的设置，成都地区用户访问后台不需要任何验证，非成都地区的用户必须输入授权密码才能访问。

二、从物理层面限制，禁止上传PHP、ASP、ASP.net等动态脚本文件

在线上传模块一般都有限制上传文件类型的功能，但往往也对黑客无效。

因此我们需要使用“护卫神.防入侵系统”的“篡改防护”模块，从底层驱动限制保存的文件类型，让黑客无机可乘。如下图的设置，禁止写入php文件，即使黑客可以上传木马后门，但是保存时也会被拦截。最主要的，一点不影响日常管理。

（图四：篡改防护高级规则，禁止上传、修改php文件）

为了方便广大用户更简单的使用篡改防护模块，系统内置了大部分CMS的防篡改规则模板，您只需要在“添加CMS防护”里面选择网站路径、安全模板和后台地址，系统就会自动配置强大的篡改防护规则（如下图）。

（图五：添加CMS篡改防护规则）

通过上述两步防护设置，黑客再想植入木马后门可能性就为零了，是不是很简单？

同时您也可以继续加固网站安全，比如通过 “木马防护”模块，自动查杀木马后门文件。以及通过“静态目录防护”模块，禁止存放上传文件的目录执行动态脚本（此功能已默认开启）。解决存量木马后门的破坏能力。