PW论坛程序爆漏洞 大量网站遇黑色周末(图)

　　一位不愿意透露姓名的黑客，向记者道出了此次事件影响巨大的根本原因。他说，网站程序出现漏洞是很平常的事情，只是这次漏洞被检测者发现后并没有通知官方，而是先发布了漏洞利用工具。攻击方法实在太简单，只要输入论坛地址和管理员账号就可以更改密码。即使是对电脑知识了解不深的人，也能轻易“黑”掉一个没打补丁的站点。

　　如今，网站被黑已经是一个普遍现象。回顾过去，每次各种程序的安全漏洞，都会引来众多黑客的“邪恶目光”。目前，有80%的恶意软件是通过网页病毒传播的。这在个人网站上表现尤甚，往往因为站长一时疏忽，网站就被人嵌入了木马。而且，网站遭到破坏后，很难取证，这就助长了不负责任的“黑客”行为。而且，漏洞的补丁大多会在黑客攻击后才放出，这意味着总会有一批站长在补丁未发放前，成为黑客攻击的牺牲品。

　　专家认为，此次PW事件也不能全怪在工具研制者和程序本身。从安全角度来讲，任何程序都没有绝对的安全可言。专家建议各位站长，每天按时备份网站数据。

　　网站安全的预防与善后

　　此次PW论坛程序漏洞事件，也暴露了部分站长安全意识不强的问题。其实，只要平时注意防范，同时，万一网站被黑，采取正确的处理方式，是可以最大限度地减少自己网站损失的。

　　生于防范，死于疏忽

　　目前，大多数站长在建站时都是使用现成的网站程序，比如ASP或PHP语言建站程序虽然使用方便，但也存在一定的安全隐患，一定要提前做好安全防范，才能够高枕无忧。

　　修改管理文件名称

　　很多网站程序的管理后台都使用默认的文件名称，例如admin等常用单词很容易被猜解，类似的文件名称对网站的安全性有害无益，如果我们将文件名改为复杂的字母组合，比如将admin.php修改为endtoweb123.php等名称，管理网站的时候直接输入文件名称即可（如http://www.你的域名.com/endtoweb123.php）。这样做的好处就是，即使黑客破解了程序的管理账号密码，也无法登录管理后台，从而阻断黑客的入侵。

　　加强管理账号复杂度

　　设置复杂的账号密码是老生常谈的话题，网站程序也是一样，如果设置了足够复杂的管理密码，即使黑客通过下载数据库得到了密码的MD5数据，也很难对它进行转换破解。虽然复杂的密码在使用时会比较麻烦，但我们的偷懒只会方便了黑客。字母+数字+符号是比较好的密码组合。对了，你千万不要忘记自己设置的密码哟！

　　提高服务器安全性

　　服务器的安全设置方法众多，所谓简单就是实用，我们就以Windows系统为例进行说明。
第一步：依次点选“IIS文件安全性→文件安全性→匿名访问和安全控制”，在弹出的控制面板中去掉“允许匿名访问”前的复选框，然后增加一个“集成Windows验证”。或者也可以把系统中的默认管理员账户禁用，另外再建立一个管理员账户使用。
第二步：如果网站仅使用单一的程序语言，可以在IIS应用程序配置里只留下对应的文件，由于很多网页木马都是使用asa后缀，如果仅使用PHP程序，还要注意去掉asa选项。对于虚拟主机用户，建议最好不要使用ASP、PHP语言都支持的全功能网站空间。
第三步：服务器的权限分配一定要仔细设置，务必要安装所有的Windows更新补丁。
经过以上设置后，黑客就算破解了程序的管理账号密码进入网站后台，也不能进行其它提升权限、种植木马的恶意操作。