这份清单是神盾安全团队整理的实战自检项:后台、弱口令、源码泄露、组件漏洞、数据库暴露……照着做一遍,能挡掉 80% 的常见入侵。
《网站安全自查清单(10 项)》
改掉默认后台路径(/admin、/wp-admin)、强口令、开启登录失败锁定与验证码,能挡住绝大多数爆破。
确认 Web 服务器已关闭目录列表(autoindex off),删除 phpinfo、test、install 等遗留文件。
逐一访问 /.git/、/.svn/、/.env、/backup.zip、/wwwroot.rar,能直接下载就是源码/配置泄露,必须堵死。
隐藏报错页里的版本号,及时升级 ThinkPHP / Shiro / Fastjson / Log4j 等易被利用的组件。
数据库不要用 root 对外、限制远程连接、改默认端口,避免被扫描到后直接拖库。
给 uploads/ 等上传目录关掉脚本执行权限,防止上传的 Webshell 被直接运行。
开启 HTTPS 并强制跳转,加 HSTS 头,防止流量被劫持、Cookie 被窃取。
补上 CSP、X-Frame-Options、X-Content-Type-Options 等头,缓解 XSS 与点击劫持。
保留访问日志,盯住异常路径(webshell、eval、cmd)和高频 404/500,出事先看日志。
用扫描工具从外部视角定期自查,修复后复测,安全是持续过程而不是一次性动作。
提示:检测请仅针对您本人拥有或已获得书面授权的网站。神盾提供 40+ 检测模块与修复建议,帮你把上面的清单一次跑完。