一般从编辑器的漏洞进

控制网站目录用户权限
http服务器启动用户不要用root，启动用户不要给shell
最后排查网站是否有漏洞

思路1是找出漏洞堵上，可以自己扫，或通过嫌疑IP的日志找
思路2是靠外部防护，有钱买硬件WAF，云上的租WAF，实在没钱找个安全狗护卫神之类的防护软件用用