先搞明白：谁在打你的网站
南阳很多老板把网站做好就不管了，觉得没人闲得慌来攻击一个小企业站。大错特错。攻击你的九成不是真人，是自动化程序，全天候扫描全网，逮着漏洞就下手。安全公司统计过，一个小企业网站一年被扫描攻击上千次很正常。
类型一：暴力破解和撞库
后台密码太弱，黑客用字典跑几秒钟就能试出来。更狠的是撞库：你在别的平台泄露过账号密码，黑客拿同一套来试你的网站后台，一试一个准。
镇平石佛寺有个卖玉的商家，小程序商城后台密码跟个人邮箱一模一样。去年冬天账户被盗，绑定手机号被换掉，几十个客户的余额被刷了个精光，损失超过两万块。商家到现在都想不通，密码自己从来没告诉过别人。
类型二：SQL注入和文件上传漏洞
网站搜索框、登录框、订单页面，只要输入没过滤，黑客就能往里塞一段代码，把数据库里的客户信息、订单记录整个拖走。还有文件上传漏洞，黑客传个木马上去，你的服务器就成了他的肉鸡，拿去发垃圾邮件、挖矿，电费还得你出。
类型三：网页篡改和勒索
篡改算最轻的，挂个广告、留个联系方式，恶心你一下。勒索就麻烦了，黑客把网站文件加密，留下纸条让你交钱，从几百到几万不等。南阳高新区一家机械加工厂的官网就被勒索过，对方报价6000块，老板没给，最后找人恢复数据花了8000多，还耽误了半个月的线上宣传。
类型四：DDoS攻击
这种攻击不偷东西，就是拿海量流量把你的网站堵死，让正常客户打不开。电商大促、活动报名前夜最容易挨打，同行竞争、勒索试探都可能是原因。想了解怎么应对，可以看我们写的另一篇：南阳电商网站遭DDoS攻击怎么办。
说白了，攻击类型再多，根子就两个：漏洞没补、密码太弱。把这两样管住，八成攻击都进不来。
那剩下两成怎么办？靠监控和习惯。后台登录记录每周翻一次，发现半夜有陌生IP登录，马上改密码查日志。文件上传目录设置成只读，敏感数据定期备份，这些动作不花什么钱，但能把风险再压下去一截。南阳本地做网站维护的公司不少，一年两三千块就能帮你盯着这些事。别等黑客替你检查完，才想起来网站也要体检。