网站是黑客最喜欢的入侵目标，不仅可以植入恶意代码劫持流量获利，还可以进一步入侵服务器，进行勒索或植入挖矿病毒，以及入侵其他网站扩大入侵范围。
经护卫神统计，在线上传攻击是入侵网站常用的攻击方式，黑客利用网站的在线上传漏洞，绕过系统安全验证，非法植入网页木马或后门程序，再通过这些木马后门实施篡改网站、植入恶意代码、窃取数据等破坏行为。
那么怎么杜绝在线上传漏洞呢？
或许你首先想到的是优化网站程序，修复上传漏洞。乍一看这个方法非常好，但实际操作起来难度非法大，几乎不可行。一是因为这些网站程序往往都很复杂，根本不知道如何下手。二是修复一个漏洞的同时可能带来新的漏洞，漏洞无止境。
如果网站不使用在线上传功能，最简单有效的办法就是删除在线上传功能的相关文件。没有了在线上传程序，神仙也没法上传网页木马。
如果网站要使用在线上传功能，那就只有换其他方法了。
我们先了解一下什么是网页木马和后门？
网页木马和后门其实就是普通的网站脚本程序，一般由ASP、PHP、ASP.net、JSP等语言编写，只是主要起破坏作用，例如任意上传文件、批量篡改文件、非法操作数据库、扫描系统漏洞等等。我曾经见过有人用后门程序来管理网站的。
如果限制网站只能上传图片等静态文件，不允许上传ASP、PHP、ASP.net、JSP等动态脚本文件，不就完美解决在线上传漏洞了。几乎所有的在线上传程序都有限制文件类型的功能，但是很不幸，基本上都存在验证缺陷，这也是在线上传漏洞出现的原因。
为了确保效果，我们需要使用第三方手段，建议使用防篡改系统来解决。我们以《护卫神.防入侵系统》为例，在“篡改防护”模块，可以对每个文件类型、每一个文件、每一个目录做防篡改保护，规则非常强大，精准限制允许上传的文件类型。
首先，限制整个网站防篡改，只给读取权限（如下图一）
（图一：添加网站全站防篡改）
然后在高级规则，逐条添加允许上传的文件类型；权限除了禁止执行外，其他全部开放（如下图二）
（图二：添加允许上传的文件类型）
所有高级规则（如下图三）
（图三：所有高级防篡改规则）
特别提示：如果网站有临时文件需要写权限（例如缓存目录），可以对整个缓存目录开放写权限，但务必限制该目录禁止执行动态脚本，可在“护卫神.防入侵系统-网站防护-访问保护-静态目录保护”模块设置（如下图四）
（图四：禁止这些目录执行动态脚本）
如果网站是主流的CMS系统，也可以在 “添加CMS防护”快捷添加无副作用的防篡改规则（如下图五）
（图五：快捷添加无副作用的CMS防篡改规则）
当黑客上传动态脚本时，拦截效果如下图六
（图六：拦截黑客上传木马的日志）
通过上述设置后，黑客就没法通过在线上传漏洞植入网页木马和后门了，是不是非常简单有效，如果你也有此漏洞困扰，赶紧部署吧。
