网站安全问题，始终困扰着多数的企业，网站经常被挂马，网页被串改，信息被删除，每至假期节日，都是黑客事件频发之时。眼下时至年关，黑客攻击事件又将层出不穷，各企事业单位也加紧信息安全防范，同时针对黑客攻击行为的新闻也随之而出。在此，发表一些看法。

WEB应用的发展，使网站产生越来越重要的作用，而越来越多的网站在此过程中也因为存在安全隐患而遭受到各种攻击；例如：网页被挂马、网站SQL注入，导致网页被篡改、网站被查封，甚至被利用成为传播木马给浏览网站用户的一个载体。在那些黑客的眼里，网站并非是一个提供互联网服务和信息交流的平台，反而成为可以被低成本利用获取价值的一个途径。

网站被黑的原因

那些原因，是促使您遭受黑客攻击呢？这其中当然有很大一部分是属于经济原因，但并非所有攻击都是因为经济缘故。大体来讲，导致黑客攻击的原因有：

1. 受雇于他人的黑客行为，如商业竞争对手恶意竞争通过黑客手法攻击；如据互联安全网报道： 黑客受雇恶意文档攻击西方企业 ，这类攻击就属于商业竞争行为。

2. 受商业利益驱使，敲诈勒索、盗取各类银行帐户信息及虚拟财产的黑客攻击行为；如各类钓鱼行为都属于商业利益驱使的攻击行为。

3. 恶作剧型的黑客行为，如随意篡改网站首页；这类黑客攻击往往是一些新手的尝试行为，更多的是为了一种虚荣心的满足。

4. 搜集肉鸡，攻击一个网站后，挂上网页木马（可导致浏览该网站者中毒而使自己的计算机成为入侵者的肉鸡）；这类是为其他类攻击原因作准备，据从互联安全网社区获得的案例，有黑客竟然通过这类行为掌握了数万台的肉鸡。

注：什么是肉鸡？

5. 打击报复型，如网站服务不好而引起的商业纠纷等无法处理的时候会有黑客攻击行为；如前一段时间某威客网站经常遭受莫名攻击导致无法正常提供服务，有权威人士就指出乃是因为其网站客户服务不到位，无故刁难客户导致黑客人士不平进而遭受DDOS攻击，根本不是所谓其自己据称的遭受竞争对手恶意攻击。

注：什么是DDOS技术

6. 窃取资料型，此类攻击主要针对一些资料网站包括收费用户网站，一般攻击者不会破坏服务器及网站数据，但会悄悄将数据偷走据为已有；如盗取网站管理员的密码之类。

7. 菜鸟测试型，这类一般为一些正在学习黑客技术的人通过攻击网站练习的人骇客新手，这类攻击一般攻击经验少，容易对网站数据造成破坏；

8. 其他原因，如政治、国家安全等原因。

如何避免你的网站被黑

1、 首先要重视网站安全建设，从安全制度、安全硬件、安全人员配备等都要有一定的规划。如果网站的拥有者都不重视网站安全，仅把网站安全当作一个技术问题，那就是会带来严重的麻烦。

2、 要做好数据备份，防止不幸后可以将受攻击的损失降到最低。

3、 进行安全检查，主动进行渗透检测，最好考虑联系专业的第三方安全服务机构进行独立和专业的渗透检测，避免内部力量的不足和非独立性。这类安全方面的专业机构，各有特色，例如北京的绿盟科技、深圳的安络科技、广州的互联安全网（Sec120.COM）等等，都是由一批原为“黑客”的技术人员创办的网络安全公司，专职于信息安全技术领域的研究及解决。

4、 定制安全服务，因为安全服务不是一次检测等就可确保安枕无忧的，需要定期进行安全维护，以及安全服务机构提供一些安全日常服务。

5、 多主动掌握安全资讯，上国内互联安全类网站去.

目前网站安全状况令人堪忧，在如此多的问题之下，很多网站都处于安全风险很高的境界。由于网站的开放网络访问环境、各种各样的黑客工具，使黑客们获取利的益效率快速提升，致使越来越多的网站正在遭受着这些攻击或面临着这些威胁。当前的网站安全状况，可以用下图做一个总结。
    黑客们利用最常用的攻击方式入侵网站，获取到网站相关数据的读写权限，并根据自己的获取利益的目标层层递进，开始作案、直至获取利益。SQL注入攻击、网页挂马等都是当今最常见用的网站攻击。而就在黑客入侵这一时刻，对网站还没有造成敏感的经济损失，很多网站用户、网站的管理员在此期间并未察觉。直至网站造成明显伤害、黑客获取了利益之后才被网站用户或管理员发现，这时网站管理员才去找问题或解决问题。但已经造成损失，甚至还不易弥补。
    网站安全的三个方面不足
    1、网站安全防护不足，目前的网站防护针对SQL注入、网页挂马防护措施相对薄弱，甚至可以说基本没有防护。
    2、缺乏网站安全检测，目前的检测往往是发现造成伤害之后才有所察觉。绝大多数用户没有实时的对网站安全状态进行检测。网站有新漏洞、网页被挂马等状况，用户并不能及时察觉。而一些对安全问题敏感的网站，设有专门负责网站安全的开发维护人员，负责安全开发验证、安全运营实时监控，甚至灾难备份机制；但这种成本和代价太高，因此大多数网站无法效仿；
    3、网站安全响应滞后，由于缺乏网站安全检测，用户的响应往往在造成损失之后，发现事故才能去响应；这种响应并无法有效阻止黑客获取利益，降低损失。
    网站安全强化
    可见，如果要强化网站安全，也必须从这些几个视角入手解决才算有效；
    1、强化网站安全防护，尤其是针对SQL注入等针对网站入侵防护需要加强；
    2、引入网站检测体制，能够定期检查网站存在的安全漏洞，也能在黑客实施网页挂马后及时准确的发现挂马的网页；以保障黑客在获取利益前及时察觉。
    3、根据网站的检测，扩展响应的内容，而不仅仅是有事故才响应，有漏洞、有木马也同样做出响应；