个人经历，网站被DDOS，恶意搜索，试图破解登录等。最后加了安全防护，CDN，直到解决。其实我对安全防护了解不多，期间一直在摸索解决方案，最终还是解决了。我想与你分享这一经历。很多不专业的地方可以改正和交流。

　　一个普通的站长，从2014年开始做自己的博客网站，一直断断续续的维护，作为爱好。因为工作忙，大概有半年时间没有维护自己的网站。6月底突然发现自己的网站上不去了，带宽快用完了。我的空间有80G的流量，平日里没有那么多访问量，带宽一下子就用完了。我知道一定出了什么问题。补点临时流量，开始查网站。

　　从百度统计的数据看，原来是有人刷网站。5月31日起，日IP达到10000，PV20000，DDOS。每天的流量超过10G。6月11日，流量耗尽，网站无法访问。6月底才发现，已经半个月了。以前网站正常IP在400左右，所以我筛选了现在的正常IP，大概是50左右。我也站点了网站，查了一些关键词，发现网站被降格到K站了。当然，动力减少的原因有很多。毕竟网站已经半年没维护了，但是总的来说，网站已经不好了。

　　开始寻找解决方案。上面的时间线就是这场“战斗”的过程。首先解决流量问题，我的网站首页是固定页面，有很多图片。对方PV在我首页，流量消耗很快。我先把图片放在图床上，这样即使对方刷PV，我的流量也不会消耗太多。不然每天10G的消耗，以我的水平，是不能及时解决问题的。

　　站内恶意搜索

　　因为在后台看到了很多奇怪的门户链接，上网搜索，才知道自己的情况是恶意搜索。站内搜索格式：域名？S=禁止的关键词，然后通过一些途径，搜索引擎会大量收录这些页面，出现在搜索结果中。站点我的域名，我拦截了一些恶意搜索词收录的页面，我正常的内容页面不会超过1000，但是站点结果现在是22200，看起来是大量收录的垃圾搜索页面。令我困惑的是，我没有在robots文件中包含搜索页面，但我包含了。

　　从搜索结果来看，这样的结果不需要看内容页是什么。点开也是我网站的一个空页面。但是在搜索结果标题中，对方想做的关键词，目的地网址或者联系方式等。全部出现在搜索结果中。如果有人搜索关键词，不用去我的网站，就可以在标题中获取相关信息。有可能去他的网站或者联系方式。在百度站长工具里，我也看到了搜索关键词和入口页面。我试着搜索了下关关键词，果然可以看到我网站的垃圾关键词收录页面。

　　我觉得这是对方的目的，包括这些垃圾的关键词搜索页面。至于为什么我的网站被刷屏，我猜DDOS攻击并不是让我的网站无法访问，而是在使用的一些手段中包含了链接。我在网上搜了一下，2014年就有恶意搜索了。最近有人反映自己有这种情况。

　　开始解决

　　网上解决方案不多。你安装相关插件，监控网站中的搜索词，然后屏蔽这些关键词。当对方再次搜索时，会出现不搜索页面。此外，您可以限制搜索次数，在此之后，您将被禁止访问该网站。在插件导出的统计数据中，我们看到了大量的垃圾搜索词，从7月1日到13日，每天都有超过1500个被机器在固定的时间和频率进行搜索。

　　我设置为每天只搜索一次，屏蔽了搜索词，有一定效果。后来搜索词数量直线下降。DDOS也停了2天，但7月9日又开始了，只是量更小。另外，我提交了一个死链的所有搜索页面，但是百度删除链接需要很长时间。

　　我感觉光靠以上措施是解决不了问题的，因为一直以来我只专注于做站和优化，对网络安全不太关注。感觉自己做的就是个小站，没人会看。结果没管网站太久，还是被抓了，于是开始尝试做一些网站保护工作。

　　之后，我不断地寻找方法。重要的是我想摆脱烦人的DDOS。因为是小白班，很难解决，我工作时间也不多。后来在网上看CDN管用，终于找到了一个免费的带DDOS保护的CDN。7月22日，我上了CDN，从监控数据上看到每天有上千个独立接入的IP，两次拦截攻击。终于在7月25日，DDOS停止，百度统计中数据正常。不知道CDN有没有起到作用。

　　同时，在CDN之前，我也是在网站后台使用免费的网站安全插件。在相关的统计中，我看到了更多的问题。除了DDOS之外，还有人不断尝试登录我的后台，还有其他我无法理解的操作。我是WordPress建立的博客。我以前默认用admin这个用户名登录，对方一直尝试用admin等用户名登录，可能是想破解密码。我设置了登录失败和禁止IP等。另外我改了用户名，加了双因素认证登录。此外，插件还会阻止一些搜索词被访问；还有一次去xmlpc.php的旅行。我在网上看过这个文件，有相关的攻击方法，所以删掉了。

　　总的来说，感觉这个网站的防护功能还是超级强大的，对于普通站长来说已经足够了。除了阻止一些恶意攻击，还可以扫描网站漏洞，包括WordPress源文件以外的文件，各种源文件，插件升级残留文件等。我扫描出了两个伪装成图片的代码文件。此外，当后台源文件发生更改、登录后台等情况时，我会收到电子邮件提醒。其他很多功能还在研究中，功能足够了。用完后，我把能操作的都设置好了。从保护效果来说，我是可以抵御一些非正常操作的，所以尽量保护网站。

　　目前我的网站好像不是恶意搜索的问题。网站有很多猫腻，一个IP下的其他三个网站也有同样的问题。之前只知道做站，所以忽略了网站保护。最后通过各种方式解决了网站的问题，但是我的主站降权了。

　　、被K，另外最惨的是域名被墙了，我不知道是不是这些恶意的垃圾页面导致被举报所致，本身网站就是做网赚推广的，都是些常规内容，还上升不到被墙的程度。被墙，网站就废了，国内访问不了，做了7年的网站付之东流。吃一堑长一智，做好安全防护，以后把其他几个站做好吧。

　　总结

　　1、网站主程序要随时更新，有源码漏洞，官方会进行修复。

　　2、修改网站登录名，不要用默认的admin，并且除了高强度密码，最好再用下双因素验证登陆。

　　3、在网站有了一定收录量及访问量时，也就是网站有一定权重时，得上一些安全防护措施，避免被盯上。

　　4、经常打理一下网站，关注是否有异常。

　　5、注重网站安全防护，不能每天只做内容、优化这些事，一旦网站中招，好多辛苦就白费了。