上传目录别整个设777，单独配权限禁PHP执行，用户能传图，木马传了也白搭

新手为了让用户能传图片，把整个网站根目录设成777权限，结果一周就被传了十几个木马，首页自动跳赌博站。其实上传目录只要单独设权限，既不影响用户传图，又不会被黑客利用。第一，上传图片的目录，比如uploads、wp-content/uploads，权限设成755，给web用户写入权限就行，别设成777，Nginx会直接拒绝777目录的访问；第二，上传目录里，在Nginx里配置禁止执行PHP文件，用户就算传个木马php文件上来，访问这个目录的php文件也不会被解析执行，直接返回静态文件，木马等于废了；第三，别把配置文件、后台目录的权限设成755可写，这些核心文件只给读取权限，防止木马改你的首页代码；第四，定期检查上传目录里的文件，找那种随机名字的php文件，直接删掉，别让木马留在目录里。

我之前为了传图方便，整个根目录777，三天被挂了三次马，后来单独给上传目录设755，关了里面的PHP执行权限，之后再也没被传过木马。很多新手为了图省事，直接把整个目录权限放开，给黑客敞开大门，网站被入侵了才后悔。其实只要上传目录单独设权限，禁了PHP执行，用户能正常传图，也不会被传木马，十分钟就能配好。