一位客户最近很纳闷：网站排名突然全掉了，搜索结果里自家网站的描述变成了一串英文博彩关键词。打开后台一看，页面里被塞了几十条隐藏链接，站被挂码了。他一直以为自己的小站没人惦记，事实上攻击是机器批量扫的，不看规模。手机网站建设的安全功课，每个站都躲不开。
小站为什么也会被盯上
攻击者用的是自动化工具，全网批量扫漏洞，专挑没打补丁的老程序、弱密码后台、没人维护的站下手，和你网站多大规模没关系。小站反而更容易中招，因为长期无人看管。挂码的目的多数是借你的站在搜索引擎里导流，或者挂钓鱼页面，出了事损失的是你的排名、你的域名信誉，还有客户的信任——有客户在微信里点开你的站被提示风险，扭头就找了同行。
三个迹象，说明站可能出事了
- 搜索结果的快照不对：描述变成奇怪的关键词，或搜品牌词出现陌生页面
- 访问行为异常：客户说点开你的站会跳转到别的页面，尤其手机端跳到博彩、兼职类站点
- 后台有陌生文件：文件管理里多了看不懂命名的php文件，或者文件修改时间是你没操作过的日期
再自查一步：用不同网络和设备打开自己的站，看源代码里有没有你不认识的链接，特别是藏在页面底部的成串外链。中了招别慌，处理路径是固定的：先备份现场，再清马，然后打补丁改密码，最后向搜索引擎提交重新审核。处理后观察一周搜索快照，恢复干净了才算结案。
日常防护，就做这三件事
第一件，程序和插件保持更新，尤其用开源系统搭的站，补丁出来就打，老版本漏洞是公开的，等于大门敞着。第二件，后台地址别用默认路径，密码别用admin加123456这种组合，管理权限按人分配，离职人员账号及时删。第三件，定期备份，程序加数据库，异地存一份，出了事能快速恢复，备份是所有安全措施里性价比最高的一项。这三件事加起来每月不到一小时的工作量，却能挡掉绝大多数攻击。有些企业把这些写进维护合同，让服务商按月执行并出报告，更省心。安全这件事的本质是习惯，手机网站建设上线时把这三件事写进交接文档，换人接手也知道每月该查什么。
建议：今天就检查一遍后台密码和程序版本，这两项占了中招原因的大头；平时没人管技术的，找比格网络这类提供安全维护服务的团队按月巡检，一个月百来块的成本，比被挂码后掉排名、丢客户的损失，便宜太多了。
