网络安全防护基础

// 错误：拼接，参数里放个引号就出事
$sql = "SELECT * FROM user WHERE name = '" . $_GET['name'] . "'";
 
// 正确：参数化查询，值永远是值
$stmt = $pdo->prepare('SELECT * FROM user WHERE name = ?');
$stmt->execute(array($_GET['name']));

// 命令注入同理：别拼字符串
exec('ping -c 1 ' . $_GET['host']);              // 危险
exec('ping -c 1 ' . escapeshellarg($_GET['host'])); // 好一些，但更该用白名单校验

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'

add_header X-Content-Type-Options nosniff always;
add_header X-Frame-Options SAMEORIGIN always;          # 防点击劫持
add_header Referrer-Policy strict-origin-when-cross-origin always;
add_header Strict-Transport-Security "max-age=31536000" always;

// bcrypt / argon2，自带随机盐，验证时不用自己取盐
$hash = password_hash($plain, PASSWORD_DEFAULT);
if (password_verify($plain, $hash)) {
    // 算法或代价因子升级了就重算一次
    if (password_needs_rehash($hash, PASSWORD_DEFAULT)) {
        $newHash = password_hash($plain, PASSWORD_DEFAULT);
    }
}

code = HOTP(secret, floor(unix_time / 30))

# 对登录接口单独限速：每 IP 每秒 1 次，允许短时突发 5 次
limit_req_zone $binary_remote_addr zone=login:10m rate=1r/s;
 
location = /login {
    limit_req zone=login burst=5 nodelay;
    limit_req_status 429;
    proxy_pass http://backend;
}

# 请求量 Top 20 的 IP
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20
 
# 404 最多的 IP —— 扫描器的典型特征
awk '$9 == 404 {print $1}' access.log | sort | uniq -c | sort -rn | head -20
 
# 某个 IP 到底在扫什么
grep '^1.2.3.4 ' access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head -30
 
# 针对登录接口的高频 POST
awk '$7 ~ /login/ && $6 ~ /POST/ {print $1}' access.log | sort | uniq -c | sort -rn | head

location ~ /\.(?!well-known) {
    deny all;
}

# ipset 适合成千上万条规则，比一条条 iptables 快得多
ipset create blacklist hash:net
ipset add blacklist 1.2.3.0/24
iptables -I INPUT -m set --match-set blacklist src -j DROP

set_real_ip_from 10.0.0.0/8;       # 只有这些来源的 XFF 才采信
set_real_ip_from 172.16.0.0/12;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

# 1. 禁掉点文件（.env / .git / .svn），只放行 well-known
location ~ /\.(?!well-known) { deny all; }
 
# 2. 上传目录禁止执行脚本 —— 挡 WebShell 最有效的一条
location ^~ /uploads/ {
    location ~ \.(php|phtml|jsp|asp|aspx|sh|py)$ { deny all; }
}
 
# 3. 限制请求体大小，挡大包攻击
client_max_body_size 10m;
 
# 4. 全站基础限速
limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;
limit_req zone=perip burst=20 nodelay;
 
# 5. 隐藏版本号
server_tokens off;

# 1. 先做快照 / 打包关键证据，再动手清理
cp -a /var/log /root/incident-$(date +%F)/log
ps auxf > /root/incident-$(date +%F)/ps.txt
ss -antp > /root/incident-$(date +%F)/conn.txt
crontab -l > /root/incident-$(date +%F)/cron.txt
 
# 2. 断开对外访问（云平台安全组只放行你自己的 IP 更稳妥）

# 可疑的对外连接（挖矿、反弹 shell 都会有）
ss -antp | grep ESTAB
 
# 占 CPU 最高的进程
top -b -n1 | head -20
 
# 最近被修改的 Web 文件 —— 找 WebShell 最快的一招
find /var/www -type f -mmin -1440 -name '*.php' -ls
 
# 近期新增的定时任务与启动项
crontab -l; cat /etc/crontab; ls -la /etc/cron.*
systemctl list-unit-files --state=enabled | tail -20
 
# 有没有新增账号，或者 UID 为 0 的非 root 账号
awk -F: '$3 == 0 {print}' /etc/passwd
lastlog | grep -v 'Never'
 
# 有没有被塞公钥
cat /root/.ssh/authorized_keys; ls -la /home/*/.ssh/

# 假设发现 shell.php 是 9 月 20 日传上来的，就去那天的日志里找
grep '20/Sep/2026' access.log | grep -iE 'POST|upload|\.php' | less