Debian LAMP如何防黑客攻击

在 Debian 上搭建 LAMP（Linux + Apache + MySQL/MariaDB + PHP）环境后，防黑客攻击的核心思路是：最小暴露、最小权限、持续更新、日志监控。下面按“系统层 → 服务层 → 应用层 → 运维层”给你一套实用方案。

一、系统层安全（基础）

1. 及时更新系统

apt update
apt upgrade -y

并开启自动安全更新：

apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades

2. 禁用 root 远程登录

编辑：

nano /etc/ssh/sshd_config

确保：

PermitRootLogin no
PasswordAuthentication no   # 推荐只用密钥

重启 SSH：

systemctl restart ssh

3. 使用防火墙（UFW）

apt install ufw
ufw default deny incoming
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

4. 安装 Fail2Ban（防暴力破解）

apt install fail2ban

默认已保护 SSH，可额外保护 Apache。

二、Apache 安全

1. 隐藏版本信息

nano /etc/apache2/conf-enabled/security.conf

设置：

ServerTokens Prod
ServerSignature Off

2. 禁用目录浏览

<Directory /var/www/>
    Options -Indexes
</Directory>

3. 限制敏感文件

<FilesMatch "\.(env|sql|ini|log)$">
    Require all denied
</FilesMatch>

4. 使用 HTTPS（Let’s Encrypt）

apt install certbot python3-certbot-apache
certbot --apache

三、MySQL / MariaDB 安全

1. 运行安全脚本

mysql_secure_installation

• 删除匿名用户
• 禁止 root 远程登录
• 删除 test 数据库

2. 绑定本地访问（如不需要远程）

nano /etc/mysql/mariadb.conf.d/50-server.cnf

bind-address = 127.0.0.1

3. 使用独立数据库用户

不要用一个账号管所有库，按应用分用户、最小权限。

四、PHP 安全

1. 关闭危险函数

nano /etc/php/*/apache2/php.ini

disable_functions = exec,passthru,shell_exec,system,proc_open,popen
expose_php = Off
allow_url_include = Off

2. 上传目录不可执行

<Directory /var/www/html/uploads>
    php_flag engine off
</Directory>

五、Web 应用层安全（非常重要）

1. 及时更新 CMS（WordPress / Drupal 等）

• 插件、主题必须更新
• 删除不用的插件

2. 文件权限正确

chown -R www-data:www-data /var/www/html
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;

3. WAF（推荐 ModSecurity）

apt install libapache2-mod-security2
a2enmod security2

启用 OWASP 规则集。

六、监控与应急

1. 日志检查

• Apache：/var/log/apache2/
• Fail2Ban：/var/log/fail2ban.log

2. 定期备份

rsync /var/www/ backup/
mysqldump -u root -p --all-databases > db.sql

3. 入侵检测（可选）

• rkhunter
• chkrootkit
• ossec / wazuh

七、一句话总结

Debian LAMP 防黑客 = 系统更新 + 防火墙 + SSH 密钥 + Apache/PHP 加固 + 数据库隔离 + 应用更新 + 日志监控

如果你愿意，我可以：

• 给你一份 可直接用的安全配置清单
• 或针对 WordPress / 自建 PHP 项目 给专门方案
• 或帮你 检查现有服务器安全状态