有站长觉得自己的小站没人盯，没必要做安全。这种想法很危险。攻击流量不是冲着“你的站”来的，是冲着“全网所有 IP”来的——自动化的扫描器每小时都在拨全网端口，谁开放了脆弱服务，谁就被拖进肉鸡池。服务器上线第一天起，被扫就是注定的事。
既然被扫无法避免，能做的就是把暴露面缩到最小、把弱点补上。下面这几项，任何一台服务器上线前都该过一遍，少一项就多一分被攻破的概率。
一、端口暴露面是第一个雷
很多被入侵的案例，起点就是 redis 或 mysql 直接对公网开放且没设密码。扫描器一旦发现 6379 端口且无需认证，几秒钟就能写入定时任务拿下服务器。原则是：凡是不需要公网访问的服务，一律绑定 127.0.0.1，或者干脆用防火墙挡掉。下面这段用 nmap 从本机扫一遍自己，看看公网实际能摸到哪些端口。
# 模拟外部视角扫描本机开放端口（在服务器上执行）
#!/bin/bash
# 安装：yum install nmap 或 apt install nmap
nmap -sT -Pn 127.0.0.1
# 重点看：6379/redis 3306/mysql 11211/memcached 是否对公网开放
# 若出现在输出里，立即改为 bind 127.0.0.1 或加防火墙规则
扫描结果里只要出现 redis、mysql、memcached 这类对内服务，就说明配置有漏洞。去对应配置把 bind 改成 127.0.0.1 并重启，再扫一次确认消失。
二、弱口令和默认账号是第二个雷
root/123456、admin/admin 这类口令在爆破字典里排第一。还有人给数据库设了空密码，等于把门钥匙挂在锁上。口令要做到：长度十二位以上、大小写加数字加符号混排、不同服务不共用。SSH 更彻底的做法是禁用密码登录，只认密钥，这样爆破字典再大也没用。
三、过时服务和未打补丁是第三个雷
老版本的 nginx、OpenSSL、SSH 里埋着已知漏洞，扫描器专门按版本号匹配后利用。系统一上线就开自动安全更新，至少每月手动 apt update && apt upgrade 或 yum update 一次。下面这段检查关键组件的版本，和官方最新稳定版对账，落后太多的立即升级。
# 查看对外服务组件版本，核对是否落后需升级
#!/bin/bash
nginx -v 2>&1
ssh -V
mysqld --version 2>/dev/null || mysql --version
openssl version
# 把输出版本与各自官网最新稳定版对比，落后即升级
版本核对后别只看不做。很多被勒索的机器，漏洞补丁其实半年前就出了，就是没人升级。把“每月更新”写进运维日历，设个提醒比什么都强。
四、最小权限和审计是兜底
假设某一处被突破，能不能把损失限制在最小？靠的就是最小权限：Web 进程跑在低权用户下、数据库账号只给必要库的权限、sudo 不放开 ALL。同时打开登录审计，谁在什么时候登了、执行了什么命令，都有记录可查。下面这段把最近的 SSH 登录尝试打印出来，异常 IP 频繁出现就是被扫的信号。
# 查看近期 SSH 登录尝试，识别暴力扫描
#!/bin/bash
grep "Failed password" /var/log/secure 2>/dev/null | awk '{print $11}' | sort | uniq -c | sort -rn | head
# 若某 IP 失败次数上千，说明正在被爆破，用 firewall 拉黑该 IP
看到某个 IP 失败上千次，别犹豫，直接 firewall-cmd --permanent --add-rich-rule 把它封掉。这几项全做了，被扫的风险从“迟早出事”降到“基本无碍”。
相关阅读：
A5创业网 版权所有