很多人以为服务器被黑是因为技术太菜。真相是,大部分入侵根本用不上什么高深手段——只是你忘了改一个默认设置,或者多给了一个不该给的权限。
这篇文章整理5个Unix-like系统(Linux/BSD)上的基础安全配置。全部操作加起来不到一小时,但能挡住绝大多数自动化攻击脚本。
![]()
1. 别用root当日常账户
root用户拥有机器的绝对控制权,执行rm -rf /这种命令系统不会拦你。日常操作如果一直挂在root下,一旦某个程序被注入恶意代码,对方直接获得整台机器。
正确做法是创建独立用户,需要提权时用sudo。切换流程:
adduser YOUR_NAME # 创建用户passwd YOUR_USER # 设置密码usermod -aG sudo YOUR_USER # 加入sudo组su YOUR_USER # 切换用户
文件归属也要调整:chown $(whoami):$(whoami) /your/files,确保你的文件确实"属于你"。
2. sudo必须强制密码验证
有人图方便,把sudo配置成免密执行。这等于给黑客留了一扇不用钥匙的门——只要突破外层,root权限唾手可得。
检查你的sudoers配置,确保没有NOPASSWD这种字样。每次提权都输入密码是麻烦,但这道麻烦就是安全边界。
3. 防火墙不是可选项
防火墙的本质是连接过滤器。你的SSH端口、WordPress后台、数据库管理界面,这些服务不需要对全网开放。
以SSH为例,可以配置成仅允许特定IP访问。其他人连握手阶段都进不来,扫描器直接跳过你这台机器。
4. 服务隔离:一个漏洞不连坐
Unix的权限系统核心在于"用户"这个设计。每个服务跑在独立用户下,即使某个服务被攻破,攻击者也只能困在这个用户的沙盒里,摸不到其他服务的数据。
Web服务器、数据库、定时任务,分别用不同账户运行。这是权限设计的基本功,却常被图省事的人忽略。
5. 最小权限原则贯穿始终
前面四条其实都在说同一件事:只给必要的权限,多一分都是风险敞口。
需要读写的目录才给写权限,需要监听的端口才开放,需要执行的命令才加入sudoers。每一个"为了方便"而放宽的限制,都是黑客的突破口。
技术越复杂,攻击面越大。后台、OAuth2、API这些现代网站的标配,也意味着更多漏洞入口。安全配置没有做完的一天,但先把这五个基础项打牢,你已经跑赢了大把竞争对手。
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.