2026-10-27 · 技术
近期监管机构监测显示，针对Linux服务器与物联网设备的僵尸网络仍在活跃，主要靠弱口令爆破和漏洞扫描批量感染，再用于发起DDoS。本文给出一份可逐项对照的自查整改清单与整改顺序。
监管机构近期的监测预警提到，针对 Linux 服务器和物联网设备的僵尸网络仍在持续活跃，这类恶意程序主要靠两件事批量拿下机器：弱口令爆破和漏洞扫描。被感染的服务器会被编入僵尸网络，用来对外发起 DDoS 攻击。 很多站长觉得“我这台机器没什么价值，不会被盯上”。但攻击者并不挑目标，他们用字典批量跑，谁的口令简单谁就先倒下。一台小配置机器被拿下，对攻击者几乎没有成本。 下面这份清单，建议对照着逐项过一遍。 先看暴露面。登录服务器做一次端口扫描，或者在本地对公网 IP 做全端口探测，看看哪些端口对外开放。重点盯这几个：22（SSH）、3389（远程桌面）、3306（MySQL）、6379（Redis）、9200（Elasticsearch）、2375（Docker 管理接口）。除业务必需的 80/443，其余端口都应该通过安全组或防火墙限制来源 IP。 再看账号。是否存在 root、admin、test、guest 这类默认账号；是否有离职人员遗留的账号；是否有多个服务共用同一个口令。口令长度建议 12 位以上，大小写数字符号混合，且不与邮箱、办公系统复用。 第三看登录方式。SSH 应当关闭密码登录，改为密钥登录，并在配置里明确禁用 root 直接远程登录。密钥本身要设口令，私钥不要放在共享目录里。 第四看日志。检查 /var/log/secure 或 auth.log 里是否有大量来自同一 IP 的失败登录，有的话说明已经在被爆破，只是还没成功。可以配合 fail2ban 做自动封禁，但封禁只是止血，改口令才是根治。 第五看服务配置。Redis 是否设了密码且只监听内网，数据库是否允许任意 IP 连接，Docker 的 2375 端口是否裸奔在公网——这几个是近年被利用最多的入口。 整改顺序上有个经验：先关端口，再改口令。如果只改口令不收敛暴露面，等于把门锁换了却把钥匙挂在门上。 加速IDC 的高防服务器在交付时会协助做基础安全组策略配置，并提供 1T 级别的 DDoS 清洗能力，适合对稳定性和防护都有要求的业务。上线前的这一步自查花不了半小时，却能挡掉大部分自动化扫描。
