網站建設-4-網站安全
UGC站點如何進行防護工作
由于大多數UGC建站系統存在漏洞，攻克技術成本較低，且群發軟件價格低廉，容易被作弊者利用，近期我們發現大量UGC站點被群發的垃圾信息困擾。這些垃圾群發內容無孔不入，除論壇、博客等傳統的UGC站點受到困擾外，現已蔓延到微博、SNS、B2B商情頁、公司黃頁、分類信息、視頻站、網盤等更多領域內，甚至連新興的分享社區也受到了影響。從以前的論壇帖子、博客日志，擴展到供求信息頁、視頻頁、用戶資料頁，這些任何由用戶填寫和生成內容的地方，都會被作弊者發掘利用，形成大量的UGC性質的垃圾頁面。
搜索引擎在發現UGC性質的垃圾頁面后必將做出相應應對，但對真正操作群發的作弊者很難有效的打擊，所以作弊者容易利用UGC站點極低成本且自身安全這些特點，做出更多危害網站、危害用戶、危害搜索引擎的行為。若網站自身管理不嚴控制不力，很容易成為垃圾內容的溫床；有些網站為了短期流量而對垃圾內容置之不理，這無異于飲鴆止渴。網站不應僅僅是平臺的提供者，更應該是內容的管理者，積極維護網站自身質量非常重要。若網站任由垃圾內容滋長，不僅會影響網站的用戶體驗，同時也會破壞網站口碑和自身品牌建設，造成正常用戶流失，嚴重時，還會使搜索引擎降低對網站的評價。
對于作弊者來說，在UGC站點上發布垃圾內容的目的就是被搜索引擎收錄，如果不能讓垃圾頁面在網站和搜索引擎上消失，他們依然會持續不斷地產生更多垃圾內容。百度站長平臺希望和站長一起打擊垃圾頁面，幫助網站良性發展，共同維護互聯網生態環境。
一，UGC垃圾典型case
1、與網站或論壇版塊主題不符的內容
2、欺騙搜索引擎用戶的內容
1）使用夸大誘人的標題，或在內容中穿插堆積熱門關鍵詞
2）有些文章看標題以為在說A事，而主要內容卻在講B，且與A毫無關系
3）視頻或音頻文件標題所述不符
4）欺騙網站詐取分帳式廣告收益的內容
5）專門利用UGC網站為自己做推廣、謀福利
6）詐騙中獎、虛假聯系電話、不良信息
二，UGC管理員該怎么做
1，刪除垃圾內容，并將這些頁面設置為404頁面后，及時通過百度站長平臺的死鏈工具提交死鏈列表
2，提高注冊用戶門檻，限制機器注冊
? 群發軟件通常使用自動的程序探測論壇默認的注冊文件名、發帖文件名。管理員可以不定期的修改注冊用戶文件名、發帖文件名；注冊、發帖按鈕使用圖片；與程序默認的不同，可以防止被自動程序搜索到。
? 發帖機通常是機器注冊，行為模式單一。管理員可添加一些需要人工操作的步驟，有助于限制機器注冊。如使用驗證碼；限制同一郵箱注冊ID的數量，同時啟用郵箱驗證；使用更為復雜的驗證機制；經常更換注冊問答。
? 除了在注冊處設置門檻外，還可以控制新用戶權限。如要求完成上傳頭像、完善用戶信息等人工操作步驟后才開放發帖功能；在一定時間內限制新用戶發帖；限制新用戶發布帶鏈接的帖子，待達到一定級別后再放開。
3，嚴控機器發帖行為，如使用驗證碼、限制短時間內連續發帖等
4，建立黑名單機制，將群發常用詞、廣告電話和網址等加入黑名單，對含有黑名單內容的帖子進行限制或清除。黑名單應該不斷維護
5，對站內異常內容進行監控，發現爆增數據后及時查找原因
6，對站點內用戶的行為進行監控
? 部分異常用戶的ID結構有別于普通用戶，如使用無意義的字母數字、或幾個單個漢字的無序組合
如：gtu4gn6dy1、蝶淑琴；使用商業詞作為ID，如：軸承天地7、hangkongfuwu123
? 發布內容間隔過短
? 發布的內容絕大部分非常類似
? 發布的大部分內容里含有類似的特征，如某個網址、電話、QQ號碼等聯系方式
7，不允許發布帶有可執行代碼的內容，避免彈窗、跳轉等嚴重影響用戶體驗的情況發生。
8，對部分UGC位置提及的鏈接，使用“nofollow”進行標記，如：bbs簽名內的鏈接、BLOG回復ID自置的鏈接
9，論壇中的廣告、灌水版塊，建議加上權限限制，或者禁止搜索引擎收錄。
10，關注建站程序的安全更新，及時安裝補丁程序。保障用戶賬號安全，避免發生盜用正常用戶賬號或歷史沉寂用戶賬號發布垃圾內容的情況發生。
網站安全之防止被黑
這里所說的被黑，指黑客通過網站漏洞篡改網頁內容、為網站惡意添加許多垃圾頁面，內容往往與博彩、游戲等熱門關鍵詞有關，然后利于網站在搜索引擎中的天然優勢騙取更多流量?；ヂ摼W上所有網站其實都存在被黑的可能，尤其是已在搜索引擎中獲得較好表現的站點更要注意，千萬不要讓被黑令自己的心血付之東流。
一，如何判斷網站被黑
先通過外界對網站進行觀察，如果有如下現象，那您的網站可能被黑了
1、通過百度站長平臺的索引量工具，發現站點收錄量大增；再通過搜索關鍵詞工具發現，站點獲得流量的關鍵詞中有很多與本站點無關。
2、通過Site語法查詢站點，顯示搜索引擎收錄了大量非本站應有的頁面。
注：site查詢結合一些常見的色情、游戲、境外博彩類關鍵字，可幫助站長更快的找到異常頁面，例如“site:www.abcxyz.com 博彩”
3、從百度搜索結果中點擊站點頁面，跳轉到了其他站點。
4、站點內容在搜索結果中被提示存在風險。
5、從搜索引擎帶來的流量短時間內異常暴增。
二，進一步驗證網站是否被黑
通過上述方法站長懷疑自己的網站被黑了，那么該如何對黑出來的內容進行排查呢？
1、分析系統和服務器日志，檢查自己站點的頁面數量、用戶訪問流量等是否有異常波動，是否存在異常訪問或操作日志；
2、檢查網站文件是否有不正常的修改，尤其是首頁等重點頁面；
3、網站頁面是否引用了未知站點的資源（圖片、JS等），是否被放置了異常鏈接；
4、檢查網站是否有不正常增加的文件或目錄；
5、檢查網站目錄中是否有非管理員打包的網站源碼、未知txt文件等；
6、使用百度站長平臺抓取診斷工具，診斷網頁是否被加了黒鏈、隱藏文本
*每個站點每月可使用300次，抓取結果只展現百度蜘蛛可見的前200KB內容
【重要提示】若直接訪問網站時一切正常，但在百度的搜索結果展現了異常的快照內容，這可能是黑客做了特殊處理，只讓百度蜘蛛抓取到異常的頁面，以此來增加隱蔽性，讓站長難以發現；同理，若直接訪問網站正常，但從百度搜索結果頁進行訪問時，出現了異常頁面，這是黑客針對百度來源（refer）做了特殊處理
三，網站被黑怎么辦
1、立即停止網站服務，避免用戶繼續受影響，防止繼續影響其他站點（建議使用503返回碼）。
2、如果同一主機提供商同期內有多個站點被黑，您可以聯系主機提供商，敦促對方做出應對。
3、清理已發現的被黑內容，將被黑頁面設置為404死鏈，并通過百度站長平臺死鏈提交工具進行提交。
4、排查出可能的被黑時間，和服務器上的文件修改時間相比對，處理掉黑客上傳、修改過的文件；檢查服務器中的用戶管理設置，確認是否存在異常的變化；更改服務器的用戶訪問密碼。
注：可以從訪問日志中，確定可能的被黑時間。不過黑客可能也修改服務器的訪問日志。
5、做好安全工作，排查網站存在的漏洞，防止再次被黑。
網站安全之域名被劫持
2014年5月14日，前瞻網官方微博發布公告，宣布域名被盜損失過億。在黑客遍行的今天，域名被盜被劫持幾乎每天都在發生。百度搜索引擎希望站長在關注收錄、流量、變現的同時，多多關注域名安全，畢竟域名安全是生存之本。在之前與站長接觸中，發現站長都有如下心理：域名控制權完全在服務商，我們處于被動的一方。那么站長就真的什么都不用做、什么都無法做了么？
一，域名被劫持的嚴重后果
1，域名被解析到其它地址，用戶無法正常訪問，網站流量受損
2，通過泛解析生成大量子域名，共同指向其它地址（往往是惡意垃圾網站）
3，域名被解析到惡意釣魚網站，導致用戶財產損失
4，當域名被劫持后的內容干擾搜索結果時，為保障用戶的使用體驗和安全，百度搜索引擎會暫時關閉對域名的收錄和展示，待嚴格審核確認后才會再度放開
二，如何降低域名被劫持風險,減少損失
1， 為域名注冊商和注冊用郵箱設置復雜密碼，且經常更換。使用單獨的DNS服務，也需要對密碼進行上述設置。同時注意不要在多個重要注冊地使用相同的用戶名和密碼。
2， 將域名更新設置為鎖定狀態，不允許通過DNS服務商網站修改記錄
*使用此方法后，需要做域名解析都要通過服務商來完成，時效性較差
3， 定期檢查域名帳戶信息、域名whois信息，每天site網站檢查是否有預期外網頁，或使用百度云觀測進行監控——當域名被解析到惡意站點時可以第一時間收到報警（百度云觀測關于域名安全的介紹）
4， 網站運營和優化人員經常詳細檢查網站索引和外鏈信息，有異常一定要檢查清楚
三，域名被劫持后該怎么做
1，立即修改域名服務商和郵箱密碼，使用復雜度高的密碼且經常更換
2，刪除不屬于你的DNS解析，恢復DNS設置
3，如果使用的是第三方DNS服務，應立即修改第三方DNS服務端帳戶密碼，鎖定帳戶信息，開啟帳戶短信郵箱類提醒
4， 收集全部被非法添加的頁面并設置404，使用百度站長平臺工具提交死鏈
5，如果該服務商下域名經常出現被劫持事件，可考慮更換更安全穩定的服務商。有能力的網站可自建DNS服務，自主運維自負風險
來源：百度搜索資源平臺 百度搜索學堂
