5个网站被黑挂马的真实案例+合同范本，建站报价避坑全攻略

网站被黑挂马不知道怎么办？最近我们接手的3个客户，无一例外都是因为建站合同没写清楚安全责任，结果上线后网站被黑，数据丢失，搜索引擎降权，最严重的一个赔了十几万。现在你手上要是有【建设网站协议合同范本】，建站报价时把安全责任写清楚，能帮你省下不少后续的麻烦。

威胁场景：网站被黑挂马的真实案例

别以为网站被黑离你很远，现实远比你想象的更糟糕。比如我们服务的一个本地餐饮店，刚上线不久，网站突然被挂上钓鱼链接，客户以为是黑客技术高超，其实是因为建站公司没装SSL证书，也没有做输入验证，导致SQL注入漏洞被利用。

这类问题最常见的是：

这些风险在合同里没写清楚，出了问题，客户就会认为是建站公司责任，最后赔钱的还是你。

网站被黑，通常是因为开发或配置存在漏洞。比如，建站过程中没有做输入验证，或者用的CMS系统存在未修复的漏洞，再比如服务器配置错误，导致攻击者可以轻松入侵。

一个典型的例子是SQL注入，攻击者通过在输入框中输入恶意代码，就能绕过登录、查看数据库内容，甚至控制整个网站。

下面是一个常见的SQL注入漏洞代码示例：

// 漏洞代码：未过滤用户输入
$query = "SELECT * FROM users WHERE username = '" . $_GET['username'] . "'";

修复后的代码：

// 修复代码：使用预处理语句
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$_GET['username']]);

这两段代码的区别，就是有没有参数化查询，这在建站协议里要写清楚，否则出了问题你得承担后果。

一份完整的【建设网站协议合同范本】，应该包含以下几个部分：

一份透明的建站报价，应该包括：

在协议中写明技术选型，比如：

比如，PHP中限制文件上传类型可以这样写：

// 限制上传文件类型
$allowed_types = ['image/jpeg', 'image/png'];
if (!in_array($_FILES['file']['type'], $allowed_types)) {die("不允许上传此文件类型");
}

在协议中明确，建站公司需提供以下安全方案：

网站上线后，安全工作还没结束。定期做安全检测，是避免被黑的关键。

比如，在.htaccess中限制访问路径：

# 禁止访问敏感目录
Order deny,allow
Deny from all