做网站安全防护，宜宾老板最想不通的是没人告警

有宜宾做票务的老板问：后台登录页被撞库了，为什么没人通知我们？我的答案是：撞库这件事本身不报错。试密码的人被挡在门外那几天，你的站点一切正常，日志里那几万条失败记录只有翻日志的人看得到。

撞库到底在做什么

撞库是拿现成的账号密码挨个试，不是先进来再搞破坏。自动化工具一天能试几十万次，扫中一条就算完成。在被扫的阶段，站点没有任何异常表现。

试成功之后才有动静。价格被改、联系方式被换成别的号、资料被拉走，这些动作会留在数据库和文件修改记录里。判断标准只有一条：翻日志，看有没有成功的那一条。

难就难在日志多数人不看。托管合同写的是机器存活率，日志在客户自己手里这一条，没人会主动提。宜宾站群托管在小 IDC 上的不少，这一格经常是空的。

出事当天按这个顺序查

改密码是头一步，同时停用所有旧账号，只改一个不够。第二步看有没有多出来的文件，模板目录和上传目录按时间挨个对。这两件当天能做完，别等服务商上班。

第三步才是恢复。宜宾高新区高捷园一带做智能终端配套的企业不少，官网上挂着供应商名录和联系方式。被改了，对外发出去的就不是自己的错，这句话说出去要收得回来。

日志不用买工具，看三列

登录日志里看时间、来源地址和请求路径三列，一小时就能看出是不是同一批地址在反复试。成功记录只有一条，就是进了；一条都没有，先把密码改了再观察。

• 来源地址集中在少数几段，多半是批量工具
• 失败时间连成一片，整点出现就是定时脚本
• 出现成功之后紧跟着配置变更，这两条重点看

这三列看完心里就有数了。要找外部团队做一次安全审计，按服务项评估，一案一价。兴文石海那类旺季冲量大的站更该提前做一遍，李庄古镇的票务站同理。

撞库的常见疑问

撞库和被扫是一回事吗

不是。被扫是挨个端口找入口，撞库是拿账号密码试登录。看日志能分出来，前者看请求路径，后者看登录失败记录。

发现了要换服务器吗

多数不用。要换的是账号和密钥，服务器上的文件清理干净就能接着用。换服务器是收尾动作，不是头一步。

多久能看出有没有被登进去

日志完整的话半天能出结论。看不出来的那几天，站点其实一直在被试。

先看日志有没有成功记录

客户满意度 98.2%。这三项该花的钱我们从不省。

宜宾信服无限接网站安全防护，会先把登录日志按这三列拆一遍，告诉你有没有成功记录，再谈后面的动作。你现在能自己做的，是登录后台把账号名翻出来对一眼。对不上就发我，我们接着查。