个人博客被挂黑链、被植入挖矿脚本、后台被暴力破解，这些问题在轻量级建站场景里非常常见。很多人以为只有大站才会被盯上，实际上扫描器全天候在网段里批量探测，个人博客反而是最容易得手的目标。因为多数个人站长用的都是现成程序，比如WordPress、Typecho、Halo或者Hexo静态部署，默认配置和常见插件漏洞早就被自动化工具摸透了。下面直接讲几个最实用的防护和修复技巧，不涉及复杂的企业级方案，全部是个人服务器和虚拟主机上就能落地的操作。

先把后台入口藏起来，别用默认路径

WordPress默认后台是/wp-admin，Typecho是/admin，Halo是/console。扫描器第一步就是请求这些路径，一旦确认程序类型，马上调用已知漏洞库进行爆破或者注入测试。改掉后台路径不是根本防御，但能挡掉九成以上的无差别扫描。WordPress可以用WPS Hide Login这类轻量插件把登录页改成一个只有你自己知道的自定义路径。Typecho和Halo则需要修改配置文件或者反向代理规则。如果你用的是Nginx，可以直接在站点配置里加一条访问限制，只允许特定IP访问后台路径，其他来源一律返回404。这样做比单纯改路径更安全，因为即使路径被猜到，非白名单IP也打不开登录页。

登录接口必须加二次验证和失败锁定

暴力破解是个人博客被拿下的最常见原因。很多站长密码强度不够，或者多个站点共用一套密码，一旦某个小站数据库泄露，攻击者就能拿着撞库字典来试你的博客。光靠复杂密码不够，必须加登录失败锁定机制。WordPress可以安装Limit Login Attempts Reloaded，设置连续失败5次后锁定该IP两小时。Typecho可以在config.inc.php里手动加一段简单的失败计数逻辑，把失败次数写入数据库或文件缓存。更彻底的做法是给登录页加HTTP Basic Auth，也就是在Nginx或Apache层再加一道密码。这样即使程序本身有漏洞，攻击者也到不了程序登录界面。两层认证叠加后，爆破成功率基本归零。

文件上传漏洞是重灾区，必须限制类型和执行权限

很多个人博客允许上传头像、图片或者附件，攻击者经常利用文件类型校验不严的漏洞上传一个伪装成图片的PHP木马。比如把后缀改成.jpg.php，或者利用解析漏洞让服务器把图片目录里的PHP代码执行出来。修复方法分三步。第一步，在程序后台把允许上传的文件类型限制到最小范围，只保留jpg、png、webp、gif、pdf，其他一律拒绝。第二步，在服务器配置里禁止上传目录执行PHP。Nginx可以这样写：

location ~* /wp-content/uploads/.*\.(php|php5|phtml|php7)$ {
    deny all;
}

Apache则在.htaccess里加：

<FilesMatch "\.(php|php5|phtml|php7)$">
    Require all denied
</FilesMatch>

第三步，定期检查上传目录里有没有不该出现的文件类型。用find命令可以快速列出最近24小时内新增的PHP文件：

find /var/www/blog/wp-content/uploads -name "*.php" -mtime -1

只要发现异常文件，立即删除并检查访问日志，确认攻击者是否已经利用该文件执行过命令。

数据库安全不能只靠程序默认配置

很多人安装博客时图省事，数据库用户直接给root权限，或者数据库密码和服务器登录密码相同。一旦程序出现SQL注入漏洞，攻击者拿到的就是整个数据库服务器的控制权。正确做法是给每个站点单独建一个数据库用户，只授予该数据库的增删改查权限，不授予建表、删库、文件读写等高级权限。MySQL里可以这样执行：

CREATE USER 'blog_user'@'localhost' IDENTIFIED BY '强密码';
GRANT SELECT, INSERT, UPDATE, DELETE ON blog_db.* TO 'blog_user'@'localhost';
FLUSH PRIVILEGES;

另外，数据库默认端口3306不要对外开放。如果数据库和网站在同一台服务器上，监听地址改成127.0.0.1就够用了。很多个人站长用面板工具管理服务器，面板默认端口也要改掉，并且绑定到本地或者指定IP，不要直接暴露在公网。

及时更新程序和插件，但更新前先备份

WordPress生态里大量漏洞来自第三方插件和主题。很多个人博客装了一堆插件，有的插件几年不更新，早就被爆出远程代码执行漏洞。攻击者不需要知道你的后台密码，只要扫描到某个有漏洞的插件版本，就能直接利用漏洞写入后门。所以插件数量越少越好，非必要不安装。已经安装的插件要定期检查更新，发现官方已经下架或者长期不维护的插件，尽快找替代方案。更新前一定要先备份网站文件和数据库，因为有些插件更新后会跟主题或PHP版本冲突，导致网站白屏。备份可以用命令行打包：

tar -czf blog_backup_$(date +%F).tar.gz /var/www/blog
mysqldump -u blog_user -p blog_db > blog_db_$(date +%F).sql

备份文件不要放在网站根目录下，否则攻击者通过目录遍历或者猜测文件名就能把你的数据库下载走。放到网站目录之外，或者用对象存储做异地备份。

权限设置要最小化，别图省事给777

很多教程教人解决权限问题时直接让用户把目录改成777，这是非常危险的做法。777意味着任何系统用户都能读写执行该目录下的文件，一旦攻击者通过某个漏洞拿到了一个低权限shell，就能往你的网站目录里写后门。正确权限应该是：网站文件归运行PHP的用户所有，目录权限755，文件权限644。需要写入的目录比如uploads、cache、logs，可以给775或者770，但不要给777。修改权限可以批量执行：

find /var/www/blog -type d -exec chmod 755 {} \;
find /var/www/blog -type f -exec chmod 644 {} \;

如果程序提示某个目录不可写，单独检查那个目录的所有者是不是PHP运行用户，用chown调整所有者，而不是直接放开权限。

HTTPS和Cookie安全要配置到位

现在申请免费证书很方便，个人博客也应该全站启用HTTPS。没有HTTPS的情况下，登录密码和Cookie在传输过程中是明文，攻击者在同一网络环境下用抓包工具就能截获。启用HTTPS后，还要在程序配置里强制Cookie只能通过HTTPS传输，并且关闭JavaScript对Cookie的访问。WordPress可以在wp-config.php里加：

define('FORCE_SSL_ADMIN', true);
define('FORCE_SSL_LOGIN', true);

同时设置安全Cookie参数，让Cookie带上HttpOnly和Secure属性。Nginx层面可以加响应头：

add_header Set-Cookie "HttpOnly; Secure; SameSite=Strict";

这样即使网站存在XSS漏洞，攻击者也无法通过脚本读取登录Cookie，CSRF攻击面也会大幅缩小。

日志监控和异常检测是最后一道防线

前面的措施都是预防，但没有任何系统能保证百分百不被入侵。所以必须开启访问日志和错误日志，并定期检查异常请求。重点看几类特征：短时间内大量POST请求到登录页，说明有人在爆破；URL里出现大量SQL关键字或者编码后的脚本标签，说明有人在测试注入和XSS；访问日志里出现对不存在的.php文件的请求，说明扫描器在探测后门。可以用grep快速筛选：

grep -E "union select|sleep\(|benchmark\(" /var/log/nginx/access.log
grep "wp-login.php" /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head

如果发现某个IP在短时间内请求了大量不存在的路径，直接把它加入防火墙黑名单。用iptables或者fail2ban都可以实现自动封禁。fail2ban配置一个简单的规则，监控登录失败日志，超过阈值就自动拉黑IP一段时间，省去人工干预。

静态博客也要防注入和供应链攻击

很多人以为Hexo、Hugo这类静态博客没有数据库和后台，就没有安全风险。实际上静态博客的漏洞主要出在生成环境和依赖链上。比如Node.js依赖包被投毒，或者生成过程中引入了恶意脚本。部署静态博客的服务器上不要安装不必要的运行时环境，生成好的静态文件直接推送到对象存储或者纯Nginx静态目录，服务器上不保留Node.js和构建工具。依赖包安装时锁定版本，定期用npm audit检查已知漏洞。另外，静态博客的评论系统如果使用第三方服务，要确认第三方服务不会往页面注入恶意代码。很多第三方评论组件会加载远程脚本，一旦第三方被劫持，你的博客就成了攻击者分发恶意代码的跳板。

被入侵后的修复顺序不能乱

如果已经发现网站被挂马或者被篡改，不要只删掉恶意文件就完事。攻击者通常会在第一次入侵后留下多个后门，删掉一个还有别的。正确修复顺序是：先断网或者把网站切换到维护模式，防止攻击者继续操作；然后备份当前状态，保留证据；接着检查最近修改的文件，用find命令按时间排序找出可疑文件；再检查计划任务和系统服务，看有没有被添加定时下载执行的任务；清理完恶意文件后，修改所有密码，包括服务器SSH密码、数据库密码、后台密码、FTP密码；最后重新部署一份干净的程序文件，不要用旧文件覆盖，因为旧文件里可能藏有不易发现的后门。如果网站程序本身有漏洞没修，重新部署后还会被再次入侵，所以必须先确认漏洞来源并打上补丁。

日常维护清单比临时救火更有效

个人博客安全不是一次性工作，而是日常习惯。每周检查一次插件和程序更新，每月看一次访问日志异常，每季度改一次后台密码，每年做一次全站备份恢复演练。服务器上只开必要的端口，22端口改掉默认值并禁用密码登录改用密钥，80和443之外不暴露任何服务。面板工具如果不用就卸载，减少攻击面。做到这些，你的个人博客就已经比绝大多数同类站点安全得多。攻击者永远在找最软的柿子捏，你只要比旁边的人硬一点，就能避开大部分自动化攻击。