中小电商站点防攻击防漏洞轻量化方案

中小电商站点安全防护最大的误区，就是照搬大平台那套方案。WAF集群、DDoS高防IP、SOC安全运营中心，这些动辄六位数年费的东西，对你来说不只是浪费钱，更致命的是它会拖慢页面加载、影响转化率。你的站点日订单量可能就几百上千，攻击者盯上你往往不是因为商业竞争，而是你用了跟他们一样的开源建站程序，漏洞是现成的，扫到就能打。所以你需要的是轻量化、精准、能自己快速部署的方案，而不是堆叠安全产品。

先做一件事：把你电商站点所有对外暴露的端口和服务列出来。中小站点最常见的问题就是开发时为了方便，SSH端口开着默认22，数据库端口3306或6379直接对公网监听，甚至phpMyAdmin面板就挂在/wp-content/某个子目录下。攻击者根本不需要什么高级手段，端口扫描工具全网扫一遍，发现你Redis没设密码，直接就能写入定时任务拿下服务器权限。立即做这几步：把SSH端口改到五位数的非标准端口，并且只允许你的办公IP通过安全组规则访问；数据库服务绑定在127.0.0.1上，绝不监听0.0.0.0；所有管理类面板加上IP白名单限制，或者直接用Basic Auth再套一层密码。这些操作不花一分钱，在服务器上十分钟就能完成，但能挡住90%以上的自动化扫描攻击。

电商站点最怕SQL注入和跨站脚本攻击，因为一旦用户数据泄露，你面对的不只是技术问题，还有法律责任和品牌崩塌。大厂的云WAF按流量计费，中小站点高峰期那点带宽看着不贵，但攻击者如果对你发起CC攻击，流量费能让你一夜破产。推荐用ModSecurity这个开源WAF模块直接编译进Nginx，它维护了OWASP核心规则集，能拦截绝大多数已知攻击向量。安装不复杂，以CentOS为例：

# 编译安装ModSecurity动态模块
yum install -y gcc-c++ flex bison yajl yajl-devel curl-devel curl GeoIP-devel doxygen zlib-devel pcre-devel
cd /usr/local/src
git clone --depth 1 https://github.com/SpiderLabs/ModSecurity
cd ModSecurity
git submodule init
git submodule update
./build.sh
./configure
make && make install

# 下载并配置OWASP核心规则集
cd /usr/local/nginx/conf
git clone https://github.com/coreruleset/coreruleset
cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf

然后在Nginx配置里加载模块并引用规则，设置检测模式为阻断模式。关键点在于规则调优：默认规则对电商站点太严格，比如订单提交接口包含HTML标签会被误拦，你需要根据业务路径添加白名单。在crs-setup.conf里把规则引擎阈值调到适合你业务的水平，初期可以先开检测模式跑一周，收集日志分析误报情况，确认没问题再切到阻断模式。这套组合零授权费用，性能损耗控制在5%以内，对中小站点完全够用。

大站防CC攻击靠的是海量带宽和分布式节点硬扛，你扛不起，所以策略应该是识别和丢弃，而不是硬接。攻击者发起CC攻击时，请求特征和正常用户有明显区别：User-Agent固定、不带Referer、Cookie缺失、请求间隔恒定。你可以在Nginx层面就做精细化限流，不是简单按IP限制连接数，而是结合多个维度判断：

# Nginx配置示例：多维度限流
http {
    # 定义限流区域，按IP+UA组合限制
    limit_req_zone $binary_remote_addr$http_user_agent zone=per_ip_ua:10m rate=5r/s;
    
    # 对动态页面路径应用限流
    location ~* \.(php|asp|aspx|jsp)$ {
        limit_req zone=per_ip_ua burst=10 nodelay;
        limit_req_status 429;
    }
    
    # 拦截明显爬虫UA和空UA
    if ($http_user_agent ~* (scrapy|curl|wget|python-requests|Go-http-client|^$)) {
        return 403;
    }
    
    # 拦截不带Referer的POST请求
    if ($request_method = POST) {
        set $bad_request 0;
        if ($http_referer = "") {
            set $bad_request 1;
        }
        if ($bad_request = 1) {
            return 403;
        }
    }
}

更进一步，你可以用Nginx的Lua模块写一个简单的JavaScript挑战逻辑：当某个IP的请求频率超过阈值时，返回一段需要浏览器执行JS才能跳转的页面，自动化攻击脚本通常不具备JS执行能力，自然就被过滤掉了。这个方案比买高防IP便宜得多，而且延迟更低，正常用户体验几乎不受影响。

绝大多数中小电商用的是开源商城系统二次开发，漏洞重灾区集中在插件和第三方组件。攻击者不是针对你，而是批量扫描已知漏洞，比如某个支付插件存在未授权访问、某个物流查询接口存在SQL注入。你必须建立自己的漏洞情报渠道，关注你所用商城系统的官方安全公告，以及Exploit-DB这类公开漏洞库。每次官方发布安全补丁，24小时内必须完成更新，这个响应速度比任何安全设备都重要。

文件上传功能是电商站点的命门，商品图片、用户头像、评价晒图，每个上传点都是潜在的后门入口。不要依赖黑名单校验文件扩展名，攻击者有一万种绕过方式。正确的做法是：上传目录设置独立域名或子域名，且该域名下的所有请求只允许静态资源MIME类型，完全禁止脚本执行。Nginx配置里对上传目录单独处理：

location /uploads/ {
    location ~* \.(php|pl|py|jsp|asp|sh|cgi)$ {
        return 403;
    }
    expires 30d;
    add_header Cache-Control "public, immutable";
}

同时对上传文件进行重命名，用随机字符串替代原始文件名，避免路径遍历攻击。图片文件用ImageMagick或GD库做二次处理，这不仅能压缩体积提升加载速度，还能清除图片中可能嵌入的恶意代码。

说句实话，以中小站点的防护水平，被攻破是概率问题。你的防御策略应该假设攻击者已经进来了，但让他拿不到完整数据。用户密码绝对不能明文存储，甚至不要用简单的MD5或SHA1，用bcrypt或argon2算法加盐哈希，即使数据库被拖走，攻击者也难以逆向破解。更重要的是敏感数据分级处理：用户手机号、收货地址这些信息，在数据库层面用AES-256加密存储，解密密钥不要写在代码配置文件里，而是放在环境变量或独立的密钥管理服务中。

数据库账户权限要严格分离，电商程序使用的数据库账户只授予SELECT、INSERT、UPDATE、DELETE权限，禁止DROP、ALTER、CREATE这类DDL操作。日常维护用另一个高权限账户，且只能从特定IP登录。这样即使程序出现SQL注入漏洞，攻击者能做的操作也被限制在数据操纵层面，无法直接删表或提权。定期做一次全量备份并异地存储，备份文件同样要加密，防止备份环节成为短板。

中小站点没必要搭建ELK全套日志分析平台，维护成本太高。你只需要在服务器上部署一个轻量的文件完整性监控工具，比如用inotify-tools监控Web目录的文件变更，一旦有新文件创建或关键文件被修改，立即发送告警到你的企业微信或钉钉群。脚本很简单：

#!/bin/bash
inotifywait -mrq --timefmt '%Y-%m-%d %H:%M:%S' --format '%T %w%f %e' \
-e create,modify,delete,move /var/www/html \
| while read line; do
    curl -X POST "https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=你的key" \
    -H 'Content-Type: application/json' \
    -d "{\"msgtype\":\"text\",\"text\":{\"content\":\"文件变更告警：$line\"}}"
done

Nginx访问日志里重点关注HTTP状态码499和502，499表示客户端主动断开，大量出现说明可能存在CC攻击或性能瓶颈；502频率突增则意味着后端PHP-FPM进程被打满。写个简单的Shell脚本定时分析最近五分钟的日志，异常阈值触发时自动重启PHP-FPM并发送告警。这套监控体系代码量不超过两百行，但能让你在第一时间发现攻击行为。

即使你的站点流量不大，也建议接入CDN。不是为了加速，而是为了隐藏源站真实IP。攻击者如果拿到你的源站IP，前面所有防护措施都可能被绕过。CDN服务商提供的免费或低价套餐已经包含了基础DDoS防护、CC攻击缓解、WAF规则等能力。配置时注意：源站只允许CDN节点的回源IP访问，其他所有IP直接丢弃。这个规则在服务器iptables或安全组里设置，确保攻击者即使扫到你的真实IP也无法直接访问。

另外，CDN层面可以配置缓存规则，把商品详情页、分类页、静态资源等不常变动的页面缓存起来。当CC攻击发生时，大部分请求在CDN边缘节点就被响应了，根本到不了你的源站。缓存时间设置上有个技巧：商品详情页缓存12小时，但通过API接口做库存和价格更新的主动刷新，这样既能保证数据时效性，又能最大化缓存命中率。

技术防护总有疏漏，但攻击行为在业务数据上会留下痕迹。比如正常用户注册后不会立即下单，但羊毛党注册完下一秒就领券下单；正常用户浏览商品会有停留时间，而爬虫是毫秒级扫完就走。你在订单表和用户行为日志里设置几个简单的异常检测规则：同一设备指纹或收货地址短时间内关联多个账号、下单间隔小于人类操作极限、商品浏览深度异常浅。这些规则用数据库定时任务就能实现，发现异常账号自动冻结，比任何安全软件都更贴近你的实际业务场景。

安全防护的本质是风险管理，不是绝对防御。中小电商站点的资源有限，要把好钢用在刀刃上。先把攻击面收敛、开源WAF部署、系统漏洞修补这三件事做到位，你就已经超过了市面上80%的同类站点，攻击者自然会转向更容易得手的目标。安全不是一次性工程，每月固定花半天时间检查日志、更新规则、审计权限，这个习惯比任何昂贵方案都管用。