小网站或小程序后台如何防黑客攻击

大部分的企业都只会购买一两台云服务器作为企业日常网站、小程序等的使用，在安全运维方面比较薄弱，很少去购买企业级的安全软件，那么我们要如何防止一些简单或常见的黑客攻击呢？

就以常见centos/debain/ubuntu来讲，一般只要开放ssh远程与nginx两个常用对外服务，一个用于管理，一个用于http服务，那么安全运维就是保护它们日常不被攻击，我们可以做些什么呢：

1、开防火墙，只开放22/80/443端口

2、ssh关闭账号密码登录，使用证书方式登录

3、安装failban工具，防止暴击破解ssh与nginx

4、定期维护磁盘空间，可以写个shell脚本，定期清理旧日志，如果程序可配置日志存储周期也给配置好，如java的log4j等

5、定期备份到云盘，可以通过本地电脑用ssh远程备份下载，防止单点故障数据丢失

以上是对系统级别的防护，程序本身也需要注意常见的一些黑客利用方法，如sql注入、垮站攻击、弱口令、session会话管理、账号密码不能明文传输、密码强度限制、密码错误次数限制、增加图型验证码行为验证码等等

如果系统是绑定微信或是企业微信或是钉钉这类使用的，强烈建议不要开放账号密码登录，都使用他们的单点登录来处理，这样用户管理等通过微信钉钉统一管理更好控制离职等员工变动等问题。