最近刚换了雨云的 CDN，理论上是加了点速度，毕竟 Azure 加持。正好兴趣大发，说说我认为在当今站点中，我们该如何保障自己的网站安全。

站点安全

站点是一个常常容易被人入手的选项，红队实战中也经常会有从各个站点逐级击破再到拿下服务器的操作。更别提 scriptkiddle 拿着工具就是冲的了，所以我们应该从站点方面做一下基础安全。

加装 WAF

WAF （网站应用级入侵防御系统）可以有效地阻挡一些非法操作，下面附上一张我在用宝塔面板的 Nginx-WAF 模块功能。

但是WAF总有办法可以绕过，所以这个办法只能拦得住大部分的脚本小子。

加密主要文件

这是我今天悟出来的神奇方法。如果你站点沦陷的时候，对方试图通过配置文件拿下有关服务器时，就会发现这破事文件完全打不开。

当然，加密后效果是完全不变的。这也同样能挡住大部分会点技术的脚本小子。不过还请记住，PHP 文件同样是可以被解密的，我现在使用的加密一个月会更新一次算法，最大程度保证完全加密，有兴趣的可以自行百度，你会看得到与我这段话内容中相同描述部分的。

为了防止恼羞成怒的大黑客导致源文件丢失我还特意备份到度盘了

使用正版软件并保持更新

相信我，更新不会错。
相信我，正版有保障。
相信我，氪金是好事。

---

服务器安全

站点寄托于服务器上，当服务器被攻陷后，搭建在服务器上的所有站点将会处于水深火热之中。

使用跳板服务器&白名单

如题，使用跳板服务器或者白名单可以限制住来自其他的外源 ip。
当服务器被攻陷，只有跳板服务器和白名单设置的ip可以访问服务器，这个功能很多服务都有，可以去开启一下。别人除了往你电脑挂马搞本地代理外么的任何方法可以解限。

使用 CDN 服务

使用 CDN 服务可以阻隔住泄露源站 ip 的可能性，当然一些特殊手段还是可以获取得到的，这个方法只能说是通杀大部分的脚本小子了

---

万能方法

域名进行 icp 备案和网安备案 做好信息正确保证
使用国内正规服务器 完全裸奔状态 禁止国外访问

这样 当你被黑的时候就可以快快乐乐的找警察蜀黍了