我管理的网站已经遭受过一次重大和一次轻微的攻击，因此我正在密切关注提高安全性的方法。我们一直在使用 FTP...
似乎每个人都同意，为了安全起见，必须更换 FTP，而 SFTP 似乎就是替代品。但我们的共享主机方案只提供一个 SFTP 帐户，我们的主要替代供应商也只提供一个。
我想这就是人们无法负担得起比共享主机更好的服务的结果。但也因为 SFTP 是基于 SSH 的，所以不需要很多不同的人通过 SSH 来访问网站。
问题 1：是否有任何主要的托管供应商以有竞争力的价格提供共享托管计划中的多个安全帐户？
问题 2：两三个人共享一个 SFTP 帐户是不明智的做法，对吗？换句话说，是否不可避免地会有人最终使用完全不安全的 FTP 连接？
Q3：该怎么办？欢迎提出建议！
Q4：我是否遗漏了任何非常明显的事情？
不，尽管我们付出了很多努力，但我们始终无法确定漏洞的根源。我找出了尽可能多的预防措施和需要修补的漏洞，并尽了最大努力。FTP 是其中一个主要漏洞，我仍在努力修补。
简要说明：第一次入侵后，我们更新了所使用的 CMS 的最新版本（phpFusion），并将网站的大部分内容移至子域。（这样做有充分的理由，但与此无关。）这样，在基本域中只留下了一个简单的问候语——切换包含指向子域中 CMS 实例的静态链接的 html 页面。第二次入侵在该文件中插入了大量隐藏链接。据我所知，基本域中基本上没有什么可破解的，因此劫持 FTP 似乎是最有可能的访问方式。FTP 密码相当强大，因此暴力破解的可能性不大。
顺便说一句，技术支持对我们的事件报告没有反应，而且供应商没有提供 FTP 访问日志，这可以确认或排除有人嗅探了 FTP 凭据。
--
我们当中只有两个人拥有网站根访问权限。我们是一家公益网站的同事，因此我们都非常积极地保护网站安全。我担心我的同事技术不太好，也没有太多钱来保护他的电脑，所以他可能已经感染了键盘记录器。
我们当中只有两个人拥有网站根访问权限。我们是一家公益网站的同事，因此我们都非常积极地保护网站安全。我担心我的同事技术不太好，也没有太多钱来保护他的电脑，所以他给我买了一个键盘记录器。
答案1
是否已首先确定了漏洞的根本原因，并确定其是由登录被盗造成的（这可能是也可能不是 ftp 会话被劫持的迹象）？用 sftp 替换 ftp 肯定更安全，但它是否真的解决了您过去的漏洞（以防止您再次成为同一漏洞的受害者 - 这应该是首要任务）？
答案2
FTP 数据（包括登录凭据）以纯文本形式传输，这就是它如此不安全的原因。您肯定希望养成使用 SFTP 的习惯，因为那时您的数据将被加密。
问题 1：是否有任何主要的托管供应商以有竞争力的价格提供共享托管计划中的多个安全帐户？
A1：Media Temple 在其“共享”托管计划中提供了一种创建多个可访问 SSH/SFTP 的用户的方法 - 他们称之为 Grid。 http://mediatemple.net
问题 2：两三个人共享一个 SFTP 帐户是不明智的做法，对吗？换句话说，是否不可避免地会有人最终使用完全不安全的 FTP 连接？
A2：这取决于你想要什么。如果你们只有两三个人一起工作，那么共享帐户就没什么问题了。另外，根据你与谁一起工作以及你对这些人的信任程度，你确实希望你们共享的 ssh/sftp 帐户不是 root/管理用户。
Q3：该怎么办？欢迎提出建议！
A3：如果您信任您的同事，那么没有理由不共享一个 ssh/sftp 帐户。我建议您完全禁用 FTP（如果可以的话），或者至少禁用该用户的 FTP。由于您的网站已被入侵，请确保更改所有密码。所有密码：mysql、apache、root 以及任何其他用户或帐户。
Q4：我是否遗漏了任何非常明显的事情？
A4：注意 sql 注入、旧版本的软件：apache、phpmyadmin、mysql - 保持这些软件为最新版本，并始终使用 SFTP 或 SSH 远程连接到您的主机。尽可能频繁地更改所有系统的密码，以适应您的工作风格；数据库用户、root、ssh 帐户等。
答案3
如果您使用的是共享主机，您通常会为域名支付网络空间费用，因此您将获得一个 SSH 帐户，该帐户会将您登录到该文件夹。SFTP 仅使用该帐户登录，而对帐户数量的限制很可能是用户名数量，而不是并发连接数。
如果您有多个域名，您可能会获得多个帐户。如果没有，为什么需要多个帐户？另外，请参阅 user48838 的帖子，他是对的，如果您有一扇开着的窗户，就不要费心在门上钉木板了。