2026-10-27 · 技術
近期監管機構監測顯示，針對Linux伺服器與物聯網裝置的殭屍網路仍在活躍，主要靠弱口令爆破和漏洞掃描批次感染，再用於發起DDoS。本文給出一份可逐項對照的自查整改清單與整改順序。
監管機構近期的監測預警提到，針對 Linux 伺服器和物聯網裝置的殭屍網路仍在持續活躍，這類惡意程式主要靠兩件事批次拿下機器：弱口令爆破和漏洞掃描。被感染的伺服器會被編入殭屍網路，用來對外發起 DDoS 攻擊。 很多站長覺得“我這臺機器沒什麼價值，不會被盯上”。但攻擊者並不挑目標，他們用字典批次跑，誰的口令簡單誰就先倒下。一臺小配置機器被拿下，對攻擊者幾乎沒有成本。 下面這份清單，建議對照著逐項過一遍。 先看暴露面。登入伺服器做一次埠掃描，或者在本地對公網 IP 做全埠探測，看看哪些埠對外開放。重點盯這幾個：22（SSH）、3389（遠端桌面）、3306（MySQL）、6379（Redis）、9200（Elasticsearch）、2375（Docker 管理介面）。除業務必需的 80/443，其餘埠都應該通過安全組或防火牆限制來源 IP。 再看賬號。是否存在 root、admin、test、guest 這類預設賬號；是否有離職人員遺留的賬號；是否有多個服務共用同一個口令。口令長度建議 12 位以上，大小寫數字符號混合，且不與郵箱、辦公系統複用。 第三看登入方式。SSH 應當關閉密碼登入，改為金鑰登入，並在配置裡明確停用 root 直接遠端登入。金鑰本身要設口令，私鑰不要放在共享目錄裡。 第四看日誌。檢查 /var/log/secure 或 auth.log 裡是否有大量來自同一 IP 的失敗登入，有的話說明已經在被爆破，只是還沒成功。可以配合 fail2ban 做自動封禁，但封禁只是止血，改口令才是根治。 第五看服務配置。Redis 是否設了密碼且只監聽內網，資料庫是否允許任意 IP 連線，Docker 的 2375 埠是否裸奔在公網——這幾個是近年被利用最多的入口。 整改順序上有個經驗：先關埠，再改口令。如果只改口令不收斂暴露面，等於把門鎖換了卻把鑰匙掛在門上。 加速IDC 的高防伺服器在交付時會協助做基礎安全組策略配置，並提供 1T 級別的 DDoS 清洗能力，適合對穩定性和防護都有要求的業務。上線前的這一步自查花不了半小時，卻能擋掉大部分自動化掃描。
