了解您的网站如何被入侵是保护您的网站免受攻击的重要部分。此页面介绍了一些可能导致您的网站被入侵的安全漏洞。
以下视频概述了各种类型的黑客攻击以及黑客控制您网站的方式。
密码泄露
攻击者可以使用密码猜测技术，尝试不同的密码，直到猜对正确的密码。密码猜测攻击可以通过各种方法进行，例如尝试常用密码或扫描字母和数字的随机组合，直到发现密码。为了防止这种情况，请创建一个难以猜测的强密码。您可以在 Google 帮助中心的文章中找到创建强密码的提示。
有两点重要的事项要记住。首先，重要的是避免在不同服务中重复使用密码。一旦攻击者能够识别出有效的用户名和密码组合，他们就会尝试在尽可能多的服务上使用该用户名和密码组合。因此，在不同服务上使用不同的密码可以防止其他服务上的其他帐户被入侵。
其次，如果可用，请利用双重身份验证 (2FA)，例如 Google 2 步验证。2FA 允许第二层登录凭据，通常通过短信代码或其他动态生成的 PIN 码，从而降低了攻击者仅凭被盗密码访问您帐户的能力。一些 CMS 提供商提供了有关配置 2FA 的指南：请参阅 Joomla!、WordPress 或 Drupal 的文档。
错过安全更新
早期版本的软件可能受到高风险安全漏洞的影响，这些漏洞使攻击者能够入侵整个站点。攻击者会积极寻找具有漏洞的旧软件。忽略您网站上的漏洞会增加您的网站受到攻击的风险。
您需要保持更新的一些软件示例包括
不安全的主题和插件
CMS 上的插件和主题添加了有价值的增强功能。但是，过时或未修补的主题和插件是网站漏洞的主要来源。如果您在您的网站上使用主题或插件，请确保使其保持最新。删除开发者不再维护的主题或插件。
对来自不受信任站点的免费插件或主题要格外小心。攻击者通常会将恶意代码添加到付费插件或主题的免费版本中。卸载插件时，请确保从您的服务器中删除其所有文件，而不仅仅是禁用它。
社会工程
社会工程是关于利用人性的弱点来绕过复杂的安全基础设施。这些类型的攻击会欺骗授权用户提供机密信息，例如密码。一种常见的社会工程形式是网络钓鱼。在网络钓鱼尝试期间，攻击者会发送一封电子邮件，伪装成合法的组织并请求机密信息。
请记住，除非您确定请求者的身份，否则永远不要泄露任何敏感信息（例如，密码、信用卡号、银行信息，甚至您的出生日期）。如果您的网站由多人管理，请考虑提供培训以提高对社会工程攻击的安全意识。有关基本的网络钓鱼防护技巧，请参阅 Gmail 帮助中心。
安全策略漏洞
如果您是系统管理员或运行自己的网站，请记住，糟糕的安全策略可能会让攻击者入侵您的网站。一些示例包括
- 允许用户创建弱密码。
- 向不需要管理访问权限的用户授予管理访问权限。
- 未在您的网站上启用 HTTPS，并允许用户使用 HTTP 登录。
- 允许未经身份验证的用户上传文件，或没有类型检查。
保护您的网站的一些基本技巧
- 通过禁用不必要的服务，确保您的网站配置了高级安全控制。
- 测试访问控制和用户权限。
- 对处理敏感信息的页面（如登录页面）使用加密。
- 定期检查您的日志是否存在任何可疑活动。
数据泄露
当机密数据被上传并且错误配置使该机密信息公开可用时，可能会发生数据泄露。例如，Web 应用程序中的错误处理和消息传递可能会在未处理的错误消息中泄漏配置信息。恶意行为者可以使用一种称为 “dorking” 的方法，利用搜索引擎功能来查找此数据。
通过定期检查并通过安全策略将机密数据限制为受信任的实体，确保您的网站不会向未经授权的用户泄露敏感信息。如果您确实发现您的网站上显示的任何敏感信息需要紧急从 Google 搜索结果中删除，您可以使用 URL 删除工具从 Google 搜索中删除单个 URL。