服务器的安全基础知识你知多少？

这里，我来说说服务器安全知识。虽然很早之前就想到了hack，但是由于种种原因，最终没有从事hack技术，但是对安全领域还是很关心的。

很久以前，我建立了一个服务器只是为了测试我学到的东西。我没有太注意安全。服务器一直受到攻击。当时我并没有太在意。后来，我真的用服务器建了一个正式的网站。 ，才感受到安全问题的紧迫性。

我使用的第一台服务器是 phpstudy。一开始会有一个默认界面，提示你配置成功。其实这些只是一个测试接口，里面有很多敏感数据和很多可以注入的漏洞，不管是IIS还是Tomcat都必须第一时间删除默认接口。

我们在配置mysql的时候，端口不应该设置为默认的3306端口，而是一个不容易猜到的端口。密码默认尽量不要复杂（我有个同学，数据库没有密码，然后他一度被当成肉鸡，一个月的服务器流量就没了……），远程应该关闭数据库的连接功能。

应经常监控用户帐号，及时删除不必要的帐号。有时攻击者可能会留下一个帐户。如果是日常开发维护，尽量不要使用超级管理员账号。密码应尽可能复杂且经常更改。

如果您是服务器新手，建议安装安全软件。很多注册表规则和系统权限不需要自己配置。安全软件很多，我就不做广告了，也不会用太多软件。说不出好话。

我没有一次性配置服务器配置。现在想了想，还是先写下来吧。下面是对用户访问的控制。我在写apache配置的时候也说了很多具体的访问控制。简而言之，有必要编写尽可能严格的访问规则。其实还有一些配置比如：防止暴力破解，防止DDOS，一般的服务器安全软件都可以自动为你设置。数据库密码不要使用超级管理员，分配Web服务所需的任何权限，并在后台隐藏错误消息。

只有运维是不够的，还有研发（一般的安全问题暴露，首先要批评运维……其实研发也得怪，不过要看是什么安全问题的类型）

对用户参数的限制不应仅限于前端。真正要攻击网站的人，肯定不会在网页上填写一些代码。应该在后台添加严格的限制。对于上传文件，您可以设置文件夹目录的执行。权限。我一般会严格限制用户的参与。比如后台界面需要的参数都是字母或者数字，所以我只是用正则匹配，只匹配我需要的字母或者数字。这里我们还需要了解一些常见的hacking方法，比如XSS、CSRF、sql注入等。通常，最具威胁性的数据库注入就是使用PDO的绑定查询来解决注入问题。当然，您也可以对数据进行正则化、转义或编码以进行存储。用户隐私数据必须以行业良知加密和存储。对于密码，使用改进的哈希加密（php内置password_hash函数），不要使用不安全的md5和sha1.

记住，永远不要相信用户输入的数据。

其实我说的只是一小部分，也是最基本的。这些也是我之前在开发+运维过程中总结的一些知识。

这几篇文章你可能也喜欢：

• 暂无相关推荐文章

本文由主机参考刊发，转载请注明：服务器的安全基础知识你知多少？ https://zhujicankao.com/69568.html