日照一家做法律服务的企业，网站从2019年建好就没怎么管过，2024年突然被黑：首页被篡改成赌博广告，百度收录了"垃圾页面"，排名掉光，还接到受害者的投诉电话。老板很委屈："我们一个小网站，黑客干嘛盯着我们？"其实黑客不是"盯上"他，是"扫描到"他——全网扫描漏洞，扫到谁算谁。企业网站就像人的身体，平时不体检，大病一来就晚了。网站安全体检，一年至少一次，10个检查项照着做。
检查项1-2：漏洞扫描+补丁检查
用漏洞扫描工具（云厂商的漏洞扫描服务、或免费的"站长工具-漏洞检测"）扫一遍网站：有没有已知漏洞（CMS版本漏洞、组件漏洞）。扫描出漏洞后，及时打补丁/升级版本。日照这家法律服务企业的网站，用的老版本CMS（内容管理系统）有已知漏洞，扫描一查一个准，后来升级到最新版，漏洞清零。漏洞扫描建议每季度做一次，不是每年。
检查项3-4：账号权限+密码强度
检查网站后台、服务器、数据库的所有账号：还有没有不用的"僵尸账号"（删除）、管理员账号是否过多（收缩）、密码是否够强（8位以上+大小写+数字+符号，别用admin123这种）。日照有家企业检查时发现，3个离职员工的账号还能登录后台——这是巨大的隐患。密码强度检查+账号清理，半小时搞定，是最简单的安全升级。
检查项5-6：备份有效性+恢复演练
很多企业"有备份"，但没验证过备份能不能用。体检做法：检查备份任务是否在跑（备份日志）、随机挑一天的备份做一次"恢复演练"（恢复到测试环境，确认数据完整）。日照这家法律服务企业后来做恢复演练发现：备份一直在做，但备份文件已损坏（磁盘满了没发现），赶紧修复了备份策略。备份不验证等于没备份——这句话每年体检都要念一遍。
检查项7-8：日志审计+文件完整性
查看服务器和网站的日志：有没有异常登录（陌生IP、凌晨登录）、异常请求（大量404、注入尝试）。检查网站文件完整性：核心文件有没有被篡改（对比原始文件哈希值），上传目录有没有可疑文件（webshell木马特征：php文件伪装成图片）。日照这家法律企业被黑后检查日志，发现攻击者在被黑前一个月就尝试过几十次登录，日志早就记录了——只是没人看。
检查项9-10：HTTPS状态+第三方组件
确认HTTPS证书是否有效（证书快过期了要续，浏览器显示不安全）、证书是否全站生效（有没有页面还是HTTP）。检查网站用的第三方组件（在线客服、统计代码、地图插件）：是否来自正规渠道（被篡改的第三方代码是常见投毒入口）、是否更新到最新版。日照有家电商企业发现，网站里的统计代码被替换成了恶意代码（估计是某个插件被攻破），造成用户数据泄露风险。
体检怎么做：自己查还是找专业
基础体检（密码、账号、备份、HTTPS、日志）企业自己就能做，2-3小时；深度体检（漏洞扫描、代码审计、渗透测试）建议找专业公司，一次2000-1万（日照行情）。或者用云厂商的全流程安全体检（阿里云"安全管家"类服务，一年几千，自动扫描+人工报告）。频率建议：基础体检每季度一次，深度体检每年一次。说白了，网站安全体检就是"花半天时间，查10个地方"——查完心里有底，没查就是裸奔，等黑客来"体检"你。