标签：安全（共 15 篇）
-
Croc：通过中继码安全传文件，比 Magic Wormhole 更快 Croc 是命令行文件传输工具，通过中继服务器在两个设备间安全传输文件。不需要设备在同一网络、不需要端口转发、不需要知道对方 IP 地址。发送方运行 croc send file → 生成一个代码短语（如 "correct-horse-battery-staple"）→ 接收方运行 croc 代码短语 → 双方通过中继服务器建立端到端加密中继传输。特性端到端加密（PAKE 密码认证密钥交换，中继服务器不知道密码、无法解密文件）。断点续传。支持文件和文件夹。支持多文件同时发送。代码短语可以自定义（如 croc send --code mysecret123 file）。支持通过管道发送文本（echo "hello" | croc send）。跨平台：Windows/macOS/Linux/FreeBSD。对比 Magic WormholeCroc：需要双方安装 croc 工具。中继代码是单词短语（比随机字符串更容易口述传达）。支持断点续传和内网直连（同一局域网时自动直连、速度快很多）。Magic Wormhole：Python 编写，传输基于 TCP、只有一个包大小限制、不支持文件夹和断点续传。Croc 更现代、功能更好。Croc：此内容需要评论后才能查看哦 (*^▽^*) -
Gpg4win：Windows 上 GPG 加密和邮件签名完整套件 Gpg4win 是 Windows 上 GnuPG（GPG）的完整安装包，集成 GPA 和 Kleopatra 密钥管理器、GpgOL Outlook 插件、GpgEX 资源管理器插件。通过 GPG 可以进行文件加密解密和邮件签名验证。核心用法Kleopatra 创建密钥对 → 把你的公钥发给对方 → 对方用你的公钥加密文件 → 你用自己的私钥解密读取。只有你的私钥能解密，即使加密文件和公钥同时泄露，没有私钥也无法解密。适用于通过不安全的渠道（微信、邮件附件）传输敏感文件。邮件加密Outlook GpgOL 插件：安装后 Outlook 在发送邮件时可以选择加密和签名。收件人需要有对应私钥才能解密邮件内容。签名：用你的私钥对邮件数字签名，收件人用你的公钥验证邮件确实由你发送、且内容未被篡改。文件加密命令gpg --encrypt --recipient your@email.com file.txt 生成 file.txt.gpg 加密文件。gpg --decrypt file.txt.gpg 解密，需要你的私钥和密码短语。对称加密（用密码而非密钥对，适合自己加密后存档）：gpg -c file.txt。Gpg4win：此内容需要评论后才能查看哦 (*^▽^*)
-
KeePass DX：Android 上打开 KeePass 数据库的最佳选择 KeePass DX 是 Android 上打开 KeePass .kdbx 数据库文件的免费开源客户端。界面现代，支持 Android 生物识别（指纹/面部）快速解锁，和 KeePass/KeePassXC 完全兼容。功能从本地存储或云盘（Google Drive/OneDrive/Dropbox/Nextcloud/WebDAV）直接打开数据库文件。支持 Android AutoFill 框架——在 App 的登录界面，弹出 KeePass DX 自动填充建议，选择账号密码自动填入，和桌面端 KeePassXC 的浏览器扩展类似。密码生成器、TOTP 两步验证码生成、文件附件、自定义字段。Material Design 3 UI，支持暗色主题。多数据库同时打开（个人密码库+工作密码库分开）。QuickUnlock：指纹/面部识别快速解锁（首次需输入主密码，之后的锁定状态用生物识别解锁）。同步方案数据库文件放在云盘中，KeePass DX 直接从云盘打开——修改后自动保存回云盘。多设备读写同一数据库文件时注意冲突（不要两个设备同时写）。主流云盘都支持冲突检测和版本历史。KeePass DX：此内容需要评论后才能查看哦 (*^▽^*)
-
Duplicati：免费的加密增量云备份工具 Duplicati 是免费开源加密备份软件，支持 Windows/macOS/Linux。采用增量去重备份——首次全量备份后，后续只备份变化的文件块，节省存储空间和上传时间。支持 AES-256 加密，所有数据在离开你的电脑之前已加密，云端存储商看不到你的文件内容。备份目标支持 20+ 种存储后端：Amazon S3、Backblaze B2、Google Drive、Microsoft OneDrive、Dropbox、FTP/SFTP、WebDAV、本地文件夹/网络共享等。可以同时配置多个备份目标——一份数据多地冗余。增量去重文件被切分为固定大小的块，每个块计算哈希值。再次备份时，只上传哈希值不在服务器上的新块，已有的块直接引用。删除文件后旧备份中的块不会立即删除，直到所有引用该块的旧备份都被清理。这意味着你可以回到任意历史时间点恢复文件，同时存储空间不会增长太多。配置示例备份本地 Documents 目录到 Backblaze B2，每周六凌晨 2 点自动执行。保留最近 4 周每周备份、最近 6 个月每月备份。备份前过滤掉 node_modules 和 .git 等大目录（排除规则支持通配符）。首次备份 10GB，之后每周末备份新增文件可能只增加 200MB 的新块。Duplicati：此内容需要评论后才能查看哦 (*^▽^*)
-
Sandboxie Plus：Windows 沙箱隔离，安全测试软件的必备工具 Sandboxie 是 Windows 上的沙箱隔离工具，现已由社区接手维护并改名为 Sandboxie Plus（开源免费）。它创建隔离的虚拟环境——一个"沙箱"——在沙箱中运行的任何程序所做的所有更改（文件写入、注册表修改）都被重定向到沙箱的临时存储区，不影响真实系统。工作原理沙箱中的程序以为自己正常地读写 C 盘和注册表，但实际上所有操作都被拦截和重定向到一个独立的存储区域。当你关闭沙箱时，可以选择：删除所有沙箱内容（恢复到运行前状态）、保留沙箱内容（下次继续用）。如果程序在沙箱中下载了病毒，关闭沙箱、删除内容——病毒就消失了，你的系统毫发无伤。使用场景测试来路不明的软件：从网上下载了"破解版"或"注册机"？先在 Sandboxie 中跑，不会中病毒。同时登录多个账号：有些网站一个浏览器只能登一个账号，把浏览器放进沙箱中运行，每一个沙箱都能独立保持登录状态。在沙箱中测试软件的不同配置：开发环境破坏性测试——装一个烂驱动、改一堆注册表——不想毁掉系统时，用沙箱。限制需要驱动级硬件访问的程序（如硬件监控、超频工具、部分游戏反作弊系统）在沙箱中无法正常运行。内核级操作也被拦截。这是一个用户态的隔离方案，不是完整的虚拟机。Sandboxie Plus：此内容需要评论后才能查看哦 (*^▽^*)
-
KeePassXC：开源密码管理器的本地优先选择 KeePassXC 是 KeePass 的社区跨平台版本（C++/Qt 编写），支持 Windows/macOS/Linux。和 Bitwarden 不同，KeePassXC 是完全本地化的——你的密码数据库是一个加密的 .kdbx 文件，存在你的电脑上，不同步到任何云端。你想同步的话自己负责（放云盘或 Syncthing 同步）。功能特性自动填充：浏览器集成（KeePassXC-Browser 扩展，Chrome/Firefox/Edge 均支持），自动检测登录表单填充。TOTP 生成器：内置双因素验证码生成器，替代 Google Authenticator。密码生成器：可定制长度、字符集、易读/易记模式。自动输入：全局快捷键（Ctrl+Alt+A）检测活动窗口标题并自动填入对应账号密码——不需要浏览器扩展也能在应用程序中自动登录。数据库加密：AES-256/Twofish/ChaCha20 可选，密钥文件（可选，除了主密码还要求手指 U 盘中某个文件才能解密）。同步方案手机端查看密码：KeePassDX（Android）、Strongbox（iOS）都能打开 .kdbx 文件。把数据库文件放到云盘（Dropbox/OneDrive/Nextcloud）中，各设备读取同一文件。或者用 Syncthing 在各设备间直接同步数据库文件。主密码 + 密钥文件的组合：数据库文件放在云盘上，密钥文件只在你的设备上手动复制。即使云盘被攻破，没有密钥文件也无法解密。对比 BitwardenKeePassXC 更极客、更本地化、更自由——但需要你自己处理同步。Bitwarden 更省心——服务器负责同步，拿来就用。数据完全掌控优先选 KeePassXC，省心优先选 Bitwarden。KeePassXC：此内容需要评论后才能查看哦 (*^▽^*)
-
VeraCrypt：免费开源磁盘加密工具，创建隐藏加密卷 VeraCrypt 是 TrueCrypt 分支继续开发的免费开源磁盘加密软件。支持 Windows/macOS/Linux。可以加密整个系统盘、整个分区、或创建加密文件容器。三种加密模式加密文件容器：创建一个指定大小的文件，该文件是一个加密卷，挂载后显示为一个独立盘符。文件本身可以随意复制和备份，即使文件被窃取，没有密码也无法解密。适合存放敏感文件（密码库、财务记录、私密照片等）。加密分区/磁盘：加密整个非系统分区或整个 U 盘/移动硬盘。插入后弹出 VeraCrypt 密码提示，正确输入后才显示盘符。加密系统盘：加密整个 Windows 系统盘（C 盘），开机时需要输入 VeraCrypt 密码才能启动系统。即使电脑被盗，硬盘拆下来接其他电脑也读不出任何数据。隐藏加密卷（Plausible Deniability）VeraCrypt 支持在普通加密卷内再创建一个隐藏卷。当你在胁迫下被要求交出密码时，你可以给出外层加密卷的密码，解密后看到的是普通的、不敏感的文件。隐藏卷在输入正确的第二套密码后才出现，且外层卷无法检测到隐藏卷的存在。关键使用技巧：外层卷中放入看起来很普通的文件（工作文档、公开的照片等），且不要停止使用外层卷——如果外层卷从某个时间点之后再也没有写入，就暴露了内层卷的存在。VeraCrypt：此内容需要评论后才能查看哦 (*^▽^*)
-
Bitwarden：开源密码管理器，跨平台自动填充最佳选择 Bitwarden 是全球最受欢迎的开源密码管理器。核心功能：保存所有账号密码、自动填充登录表单、生成强密码、跨设备同步（Windows/Mac/Linux/iOS/Android/浏览器扩展/命令行）。和 LastPass/1Password 不同，Bitwarden 完全开源且提供永久免费的个人版（功能完整无阉割）。使用方式注册账号 → 安装浏览器扩展（Chrome/Edge/Firefox/Safari）+ 手机 App + 桌面客户端。在浏览器中登录网站时，Bitwarden 自动检测登录表单并提示保存密码。下次访问同一网站时，扩展图标上显示匹配的账号数量，点击自动填充或使用快捷键 Ctrl+Shift+L。也可以手动添加条目：网站 URL、用户名、密码、备注、自定义字段（如安全问题答案）、TOTP 验证码（Bitwarden 高级版内置 TOTP 生成器，替代 Google Authenticator）。安全模型所有密码数据在你设备上使用 AES-256 加密后才上传到 Bitwarden 服务器。主密码就是解密密钥，Bitwarden 服务器存的是密文，即使服务器被攻破也无法解密。双因素认证（2FA）支持 TOTP、FIDO2/WebAuthn（YubiKey）、Duo、邮箱验证码。定期通过 HaveIBeenPwned 检测你的密码是否出现在数据泄露中。Bitwarden 每年进行第三方安全审计并公开报告。自托管如果你不想把密码存在 Bitwarden 服务器上，可以用 Bitwarden 官方提供的自托管方案（Vaultwarden 是社区开发的轻量版，Rust 编写，资源消耗极小，树莓派都能跑）。自托管后所有数据完全在你自己的服务器上，Bitwarden 客户端连接你的服务器而非官方服务器。Bitwarden：此内容需要评论后才能查看哦 (*^▽^*)
-
Proton 全家桶：加密邮件+VPN+云盘+日历的隐私生态 Proton 是瑞士的隐私科技公司，提供一整套端到端加密的在线服务。所有数据存储在瑞士（全球隐私法最严格的国家之一），服务和客户端全部开源。核心产品Proton Mail：端到端加密邮件服务。你发出的邮件使用 PGP 加密，只有收件人邮箱能解密。Proton 服务器存的是加密后的密文，连 Proton 自己都看不到你的邮件内容。免费版有 1GB 存储、每天 150 封邮件限制、1 个自定义域名。付费版（Mail Plus $3.99/月）15GB 存储、无限邮件、10 个自定义域名、邮件过滤器。支持通过 Proton Mail Bridge 客户端在 Outlook/Thunderbird 等标准邮件客户端中用 Proton 邮箱。Proton VPN：瑞士隐私法管辖的 VPN 服务，无日志政策经外部审计验证。免费版无流量限制但有速度限制且仅 3 个国家。推荐 Secure Core 功能：流量先通过 Proton 自有物理服务器的加固数据中心（冰岛/瑞典/瑞士），再路由到出口节点，即使出口节点被攻破也无法关联到真实 IP。Proton Drive：端到端加密云盘。上传前在设备端加密，Proton 服务器无法读取。文件共享可以设密码和过期时间。目前功能较基础（无协作编辑），适合存储敏感文件。Proton Calendar：加密日历。日程的标题、描述、地点全部端到端加密。可以和 Proton Mail 集成，自动从邮件中检测日期和时间。Proton 无限套餐（$12.99/月）包含以上全部产品的付费功能。如果你重视隐私又不想折腾自建方案，Proton 是最省心的选择。Proton：此内容需要评论后才能查看哦 (*^▽^*)
-
Windows Sandbox：内置沙盒，测试软件和可疑文件的完美方案 什么是 Windows SandboxWindows Sandbox（Windows 沙盒）是 Windows 10/11 Pro 和 Enterprise 版本内置的轻量级虚拟化桌面环境。启动后得到一个干净的、临时的 Windows 桌面——你可以在这里安装和运行任何软件、打开可疑文件、测试脚本，关闭沙盒后所有更改全部丢弃，不留一丝痕迹。它基于 Hyper-V 的容器技术，每次启动都从全新的 Windows 镜像创建环境，与宿主机完全隔离。启动速度极快（通常 5-10 秒），因为它是从基础镜像按需克隆的。启用方法第一步：确保系统是 Windows 10/11 Pro/Enterprise（家庭版不支持）。第二步：在"启用或关闭 Windows 功能"中勾选"Windows 沙盒"，确定后重启。第三步：开始菜单中搜索"Windows Sandbox"即可启动。首次启动会初始化，后续启动秒开。硬件要求：AMD64 架构、至少 4GB 内存（建议 8GB）、至少 1GB 可用磁盘空间、BIOS 中开启虚拟化技术。配置文件（.wsb）沙盒支持 .wsb 配置文件进行自定义：是否启用 vGPU（虚拟 GPU，默认开启）、是否启用网络（默认开启，关闭后沙盒完全断网）、映射宿主机文件夹（只读或读写）、启动时自动运行脚本。例如创建一个映射下载文件夹的沙盒配置，用于测试下载的可疑 exe 文件：映射 Downloads 为只读，网络断开，测试完关闭沙盒自动清除。适用场景测试从不可信来源下载的软件（安装前先在沙盒里跑一遍，看有没有捆绑安装或恶意行为）。测试脚本——不确定这个 .bat 或 .ps1 脚本会做什么？沙盒里跑。临时浏览可能带毒网站。体验某个软件的安装过程而不弄脏主系统。沙盒重启速度快，甚至可以作为临时的开发环境——装个 VS Code 和 Node.js，用完关掉，不留垃圾。Windows Sandbox 文档：此内容需要评论后才能查看哦 (*^▽^*)
-
KeeWeb：浏览器版 KeePass，在线管理密码的轻量方案 KeeWeb 是什么KeeWeb 是 KeePass 密码数据库的 Web 端替代界面。你不需要安装 KeePass 客户端——打开浏览器访问 KeeWeb 网页版，加载你的 .kdbx 密码数据库文件（支持 KeePass 2.x 格式），就可以搜索、查看、编辑、导出密码。KeeWeb 完全在浏览器本地运行，密码数据库不会上传到任何服务器（除非你主动用它连接云存储）。它用 JavaScript 实现了 KeePass 的所有加密解密逻辑。使用方式打开 app.keeweb.info → 点击"打开"→ 选择你的 .kdbx 文件（可以从本地、Dropbox、Google Drive、OneDrive、WebDAV 加载）。输入主密码解锁。界面和操作逻辑与桌面 KeePass 类似：左侧分组树，右侧条目列表，支持搜索。常用功能：生成强密码（可设长度、字符类型、是否包含易混淆字符）、密码历史记录（修改密码时自动保留旧密码）、自动锁定（X 分钟无操作后锁定数据库）、颜色标签（给不同用途的密码着色）。同步方案KeeWeb 支持直接读写云存储上的 .kdbx 文件。你在 KeeWeb 里新增或修改密码后，直接保存回云存储，不需要手动下载→编辑→上传。配置文件支持多个云存储同时连接。KeeWeb 还提供桌面版（基于 Electron），功能和 Web 版相同但离线可用。KeeWeb 完全开源，可以自己部署到私有服务器。安全考虑KeeWeb 的所有加密操作在浏览器端完成，密码数据库文件和主密码不会发送到 KeeWeb 服务器。但如果你把 .kdbx 文件放在 Dropbox 等云存储上，文件本身是加密的（AES-256），即使云存储被攻破攻击者也无法解密（前提是你的主密码足够强）。对于需要随时随地通过陌生设备访问密码库的用户，KeeWeb 是最便捷的 KeePass 解决方案。KeeWeb：此内容需要评论后才能查看哦 (*^▽^*)
-
Sysinternals Suite：微软官方的 Windows 系统工具包完全指南 Sysinternals Suite 是微软内部开发并公开的 Windows 诊断工具集合，包含 70+ 个独立工具。每个工具都极其专业，是系统管理员和安全研究员的必备利器。全套工具打包下载仅 45MB，全部绿色免安装。十大核心工具Process Explorer：增强版任务管理器。查看进程树、DLL 列表、句柄、TCP/IP 连接。最常用场景：文件删不掉提示被占用，在 Process Explorer 中 Ctrl+F 搜索文件名，找到占用的进程直接 Kill。Autoruns：启动项管理器。比 msconfig 强大百倍——列出所有开机自启动的程序、服务、驱动、计划任务、浏览器插件、Shell 扩展。可疑的启动项右键 → Check VirusTotal 在线扫描。Process Monitor：实时监控所有进程的文件、注册表、网络活动。排查软件为什么启动失败、为什么找不到配置文件、为什么权限不够的终极工具。配合过滤器使用（只显示目标进程），否则日志量瞬间爆炸。TCPView：图形化 netstat，实时显示所有 TCP/UDP 连接和监听端口。哪个程序在偷偷联网，哪个端口被占用，一目了然。ZoomIt：屏幕放大和标注工具。演示时可以放大屏幕局部区域、在屏幕上画图标注、实时倒计时计时器。讲师和会议演示者的最爱。BgInfo：在桌面背景上显示系统信息（IP 地址、主机名、内存、磁盘空间等）。适合管理多台服务器的运维人员。SDelete：安全删除文件（覆写多次防止恢复）。比普通 Shift+Delete 安全得多。Disk2vhd：将正在运行的物理系统转换成 VHD/VHDX 虚拟磁盘，不重启不中断。Handle：命令行查看和关闭文件句柄。脚本化的文件占用排查方案。PsExec：远程执行命令。在局域网其他 Windows 机器上运行程序，不需要预装客户端。下载：此内容需要评论后才能查看哦 (*^▽^*)
-
密码管理器对比：Bitwarden vs KeePassXC vs Proton Pass 密码管理器是现代数字生活的必需品。重复使用相同密码是最大的安全隐患——只要一个网站泄露，你的所有账号都可能被撞库攻破。本文对比三款最受好评的免费密码管理器：Bitwarden、KeePassXC、Proton Pass。Bitwarden：开源全平台王者Bitwarden 是当前最受欢迎的免费密码管理器。核心优势：完全开源（代码在 GitHub 上可审计）、全平台覆盖（Windows/Mac/Linux/iOS/Android + 浏览器扩展）、免费版支持无限设备同步、内置 2FA TOTP 功能、支持 Passkey。免费版的功能已经覆盖 95% 用户的需求，付费版（$10/年）增加文件附件、紧急访问、TOTP 生成高级功能。Bitwarden 的密码生成器可以自定义长度（建议 20+）、字符类型、是否避开易混淆字符。自动填充体验流畅，支持自定义字段匹配。KeePassXC：100% 本地离线KeePassXC 的所有数据存储在你自己的设备上，没有云端同步。你需要自己想办法在多设备间同步数据库文件（通常用 Syncthing 或手动拷贝）。这种"零云端"架构意味着绝对不可能发生服务器泄露事件。功能上：密码生成、自动填充（需要浏览器扩展 KeePassXC-Browser）、TOTP、文件附件、自定义字段一应俱全。KeePassXC 适合对隐私有极致要求、且不嫌手动同步麻烦的用户。Proton Pass：隐私至上Proton 出品的密码管理器，继承了 Proton Mail/VPN 的隐私基因。端到端加密（甚至密码本身也被加密后才上传），瑞士法律保护。免费版支持无限设备、内置 2FA、无密码数量限制，唯一限制是只能创建 2 个 Vault（相当于密码文件夹）。如果你是 Proton 全家桶用户（Mail+VPN+Drive），Proton Pass 的集成体验是最好的。三款对比表维度BitwardenKeePassXCProton Pass 开源是是是 免费版限制几乎无完全无2个Vault 云端同步有无(本地)有 多设备无限手动无限 易用性高中高绝大多数人推荐 Bitwarden。隐私原教旨主义者选 KeePassXC。Bitwarden：此内容需要评论后才能查看哦 (*^▽^*) KeePassXC：此内容需要评论后才能查看哦 (*^▽^*) Proton Pass：此内容需要评论后才能查看哦 (*^▽^*)
-
SSL 证书自动续期：Certbot + Let's Encrypt 免费 HTTPS 一劳永逸 HTTP 明文传输，中间人抓包一抓一个准。HTTPS 是标配，但买证书一年几百块。Let's Encrypt 提供完全免费的 SSL 证书，配合 Certbot 自动续期，一劳永逸。安装 Certbot# Ubuntu/Debian apt update && apt install certbot python3-certbot-nginx -y # CentOS 7 yum install certbot python2-certbot-nginx -y申请证书一句命令搞定，Certbot 自动改 Nginx 配置：certbot --nginx -d blog.zjunwei.com -d www.zjunwei.com它会问你两个问题：邮箱（证书快过期时通知）是否自动跳转 HTTPS（选 2，强制跳转）完成后访问 https://blog.zjunwei.com，地址栏直接变绿锁。多域名一张证书certbot --nginx -d zjunwei.com -d www.zjunwei.com -d blog.zjunwei.com自动续期Let's Encrypt 证书有效期 90 天。Certbot 安装时会自动创建定时任务：systemctl list-timers | grep certbot certbot renew --dry-run正常情况完全不用管，到期前 30 天自动续。泛域名证书需要 *.zjunwei.com 泛域名证书，得用 DNS 验证：certbot certonly --manual --preferred-challenges dns \ -d "*.zjunwei.com" -d "zjunwei.com"执行后会给你一条 TXT 记录，去域名 DNS 后台添加，等几分钟生效后按回车。常见坑问题解决80 端口被墙换 DNS 验证方式Nginx 配置路径不对certbot --nginx --nginx-server-root /usr/local/nginx/conf续期失败不通知加 --deploy-hook "nginx -s reload"总结HTTPS 是搜索引擎排名因素之一，也是用户信任的基础。Let's Encrypt + Certbot 这套组合从安装到上线不超过五分钟，全自动续期完全不用维护。别让裸 HTTP 成为你网站最短的板。
-
网站被黑了都不知道？零成本安全防护指南，新手必看！ 辛辛苦苦做的网站，一觉醒来被挂满了赌博广告？或者更惨——数据库被删、文件被加密？别等出事了才想起安全。本文教你用免费工具把网站保护得妥妥当当。一、你的网站真的安全吗？先做一个简单的自查： [ ] 网站有 HTTPS 吗？（地址栏有没有小锁？） [ ] WordPress 后台密码是不是 admin / 123456？ [ ] 最后一次备份是什么时候？ [ ] 知道怎么看网站有没有被入侵吗？ 如果以上任何一项是"否"或者"不知道"，那你的网站就是在裸奔。今天花 30 分钟，把这些全搞定。二、黑客最喜欢攻击什么样的网站？黑客的目标别以为你是小网站就不会被攻击。实际上，大部分攻击都是自动化扫描——黑客用脚本全网扫描漏洞，根本不挑目标。你的网站对黑客来说有什么价值？ 黑客目的 说明 🔗 挂黑链 在你的网站上偷偷加链接，给其他网站刷 SEO 📢 挂广告 植入赌博、色情广告页面 💾 偷数据 窃取用户信息、数据库 🦠 传播病毒 用你的网站分发恶意软件 🔒 勒索 加密你的文件，要赎金才解锁 ⛏️ 挖矿 偷偷用访问者的 CPU 挖加密货币 最容易中招的网站特征 特征 风险 默认管理员账号 admin 🔴 高危 弱密码（123456、password） 🔴 高危 没有 HTTPS 🟡 中等 WordPress 长期不更新 🔴 高危 装了来历不明的插件/主题 🔴 高危 从未备份过 🟡 中等（出了事就晚了） 没有安装安全插件 🟡 中等 三、第一道防线：HTTPS + 强密码1. 开启 HTTPSHTTPS 加密了用户和服务器之间的数据传输，防止中间人攻击。如果你用了 Cloudflare（系列第 4 期），HTTPS 是自动配置的。如果没有，参考第 7 期教程申请免费 SSL 证书。2. 修改 WordPress 管理员账号如果管理员用户名还是 admin，立刻改掉！WordPress 后台 → 用户 → 所有用户 → 编辑管理员 → 修改用户名。如果已经用了 admin 用户名，WordPress 不允许直接改用户名。可以新建一个管理员账号，用新账号登录后删除旧的 admin 账号。3. 设置强密码 ❌ 弱密码：123456、password、admin123、qwerty ✅ 强密码：至少 12 位，包含大小写字母 + 数字 + 特殊符号 推荐用密码管理器（如 Bitwarden，免费）生成和保存随机密码。或者用一句容易记但别人猜不到的话： ✅ woshiYiGeren_WoAiChiMianTiao_2024! （我吃面条 + 特殊符号 + 年份，好记又够长） 四、第二道防线：安装安全插件WordPress 必备安全插件Wordfence Security（免费版就够用） 功能 说明 🛡️ 防火墙 拦截恶意请求、SQL 注入、XSS 攻击 🔍 恶意软件扫描 定期扫描文件，发现可疑代码 🚫 登录保护 暴力破解防护、双因素认证（2FA） 📊 实时流量监控 查看谁在访问、有没有异常流量 安装：后台 → 插件 → 安装插件 → 搜索 "Wordfence" → 安装启用。必做配置： 进入 Wordfence → Firewall → 优化防火墙（一键操作） Wordfence → Login Security → 开启 双因素认证（2FA） Wordfence → All Options → 登录尝试限制：5 次失败后锁定 1 小时 Limit Login Attempts Reloaded额外再装一个登录保护插件，双重保险： 限制 IP 登录尝试次数 锁定暴力破解攻击者 配合 Cloudflare 的防火墙规则效果更好 五、第三道防线：保持更新 + 清理无用插件1. 及时更新 WordPress每次 WordPress 发布新版本，通常都修复了已知的安全漏洞。黑客会专门针对这些漏洞发起攻击。 WordPress 核心：出了新版本尽快更新 插件和主题：同样保持最新 开启自动更新：WordPress 支持后台自动更新小版本 2. 删除不用的插件和主题每一个插件都是一个潜在的攻击入口。看看你的网站： 有多少插件是装了但没用过的？ 有多少主题是装了但从来没用过的？ 有没有来源不明的"破解版"插件/主题？ 原则：用多少装多少，不用的立刻删除。特别是—— ⚠️ 绝对不要用盗版/破解版插件和主题！ 里面很可能藏着后门。 3. 插件来源要靠谱只在 WordPress 官方插件库和知名开发者那里安装插件。避免从陌生网站下载。六、第四道防线：定期备份（最重要！）安全做得再好，也不能保证 100% 不出事。备份是最后的救命稻草。推荐工具：UpdraftPlus（免费） 功能 说明 💾 定时自动备份 每天/每周自动备份数据库和文件 ☁️ 远程存储 备份到 Google Drive、Dropbox、OneDrive 等 🔄 一键恢复 出问题一键恢复到之前的状态 配置步骤： 安装 UpdraftPlus 插件 设置 → UpdraftPlus Backups → 设置 备份计划： - 文件备份：每周一次- 数据库备份：每天一次 远程存储：选择 Google Drive → 按指引完成授权 点击保存 💡 备份存储到远程云端很重要！如果备份和网站放在同一台服务器上，服务器被黑了备份也没了。手动备份如果你不想装插件，也可以在主机控制面板手动导出数据库 + 下载网站文件。但太容易忘记，不推荐。七、第五道防线：Cloudflare 安全设置如果你已经用了 Cloudflare（第 4 期教程），下面这些安全设置建议全开：1. 开启"机器审核"（Bot Fight Mode）Security → Bots → 开启 Bot Fight Mode。自动拦截恶意爬虫和扫描器。2. 设置防火墙规则Security → WAF → 创建规则：规则 1：阻止恶意扫描 字段：URI Path 运算符：包含 值：wp-login.php 字段：国家 运算符：等于 值：不是你的国家 操作：JS 质询 （如果网站只面向国内用户，可以限制国外 IP 访问登录页）规则 2：限速规则 字段：URI Path 运算符：包含 值：wp-login.php 操作：速率限制 请求：10 次 / 10 秒 3. 开启安全级别Security → Settings → Security Level：设为 Medium（中等）。对于可疑请求会自动弹出 JS 质询。八、网站被黑了怎么办？即使做了所有防护，也不能保证万无一失。如果发现网站异常（首页被篡改、弹出广告、搜索引擎提示危险），按以下步骤处理：第一步：不要慌，先确认 换个浏览器/设备访问，确认不是本地问题 检查 Wordfence 的扫描报告（如果有的话） 看看最近有没有安装新的插件 第二步：隔离问题 用 FTP 登录服务器，检查最近修改的文件 查看 .htaccess 文件有没有被篡改 检查 wp-content/uploads 目录有没有奇怪的 PHP 文件 第三步：恢复备份 如果有备份：直接用 UpdraftPlus 恢复到被黑之前的版本 恢复后立即修改所有密码（WordPress 管理员、数据库、FTP） 更新 WordPress 和所有插件到最新版 安装 Wordfence 做全盘扫描 第四步：没有备份怎么办 先做一次完整备份（即使已经被黑） 安装 Wordfence → 做全盘扫描 → 删除发现的恶意文件 检查所有 WordPress 文件是否被篡改 更新所有内容到最新版本 检查数据库有没有被注入恶意代码 💡 这就是为什么备份最重要——有备份，恢复只要 10 分钟。没备份，可能需要好几天才能清理干净。九、安全检查清单（收藏备用）每周花 5 分钟检查以下项目： 检查项 频率 工具 🔄 WordPress 核心更新 有新版本时 后台自动提醒 🔄 插件/主题更新 每周 后台 → 更新 🛡️ Wordfence 扫描 每周 Wordfence 自动扫描 💾 备份状态 每周 UpdraftPlus 查看备份日志 🔑 密码强度 每月 手动检查 👥 用户列表 每月 后台 → 用户（有没有不明账号） 🔗 死链接 每月 Broken Link Checker 插件 十、常见问题Q1：免费主机安全吗？主流免费主机（InfinityFree 等）本身有一定的安全措施。但免费主机的安全性确实不如付费主机，所以更需要你自己做好防护——特别是备份。Q2：Wordfence 免费版够用吗？够用。 免费版包含了防火墙、恶意软件扫描、登录保护等核心功能。付费版多了实时黑名单更新和优先级技术支持，个人博客免费版完全够了。Q3：双因素认证（2FA）一定要开吗？强烈建议开启。 即使密码泄露了，没有你的手机验证码，黑客也登录不了。Wordfence 免费版就支持 2FA。Q4：要不要隐藏 WordPress 登录地址？把 /wp-admin 改成 /my-secret-login 确实能防住一部分自动扫描。但这种"安全靠隐藏"的做法治标不治本。建议优先做好强密码 + 双因素认证 + 登录限制，这三个更有效。十一、小结 优先级 安全措施 难度 耗时 🔴 紧急 修改弱密码、删除 admin 账号 ⭐ 5 分钟 🔴 紧急 安装 UpdraftPlus，做一次完整备份 ⭐ 10 分钟 🔴 紧急 开启 HTTPS ⭐ 5 分钟 🟡 重要 安装 Wordfence，开启防火墙 ⭐⭐ 15 分钟 🟡 重要 开启双因素认证（2FA） ⭐⭐ 5 分钟 🟢 日常 保持 WordPress + 插件更新 ⭐ 每周 5 分钟 🟢 日常 检查备份状态 ⭐ 每周 2 分钟 🔵 进阶 Cloudflare 防火墙规则 ⭐⭐⭐ 20 分钟 安全不是一次性工作，而是一种习惯。今天花半小时把这些做完，以后每周花 5 分钟检查，你的网站就能睡得安稳了。📌 系列文章：- [新手必看：DNSHE 免费域名注册全攻略]()- [免费虚拟主机注册全攻略]()- [DNS 解析从入门到精通]()- [Cloudflare 免费 CDN 配置教程]()- [内网穿透教程——让家里电脑变成服务器]()- [GitHub Pages 搭建免费个人网站]()- [免费 SSL 证书申请教程]()- [WordPress 零基础建站教程]()- [网站上线后必做的 SEO 优化指南]()- [Google AdSense 广告接入全攻略]()- 本文：零成本网站安全防护指南
