宝塔面板服务器弱密码检测与安全加固从零落地实操指南

前置准备

操作前需要满足以下条件，没有满足的先完成对应准备：

• 拥有宝塔面板的超级管理员权限，可正常登录面板后台
• 拥有服务器root操作权限，不会用本地SSH工具的可以直接用宝塔自带网页终端：左侧菜单点击「终端」即可打开，操作完全一致
• 服务器已安装curl/wget工具，默认系统自带，没有的话执行对应命令安装：
  Centos执行：yum install -y curl wget
  Ubuntu/Debian执行：apt install -y curl wget

方法一：面板内置工具一键检测（新手零门槛推荐）

宝塔面板7.7及以上版本官方内置了弱密码检测功能，不需要额外安装第三方工具，操作全程可视化，步骤如下：

实操步骤

• 登录宝塔面板后台，在左侧菜单栏点击「安全」进入安全管理页面
• 向下滚动页面，找到「弱口令检测」模块，默认处于未开启状态
• 点击「立即开启」，面板会自动下载安装检测依赖，等待1-2分钟即可完成安装
• 安装完成后，点击模块内的「开始检测」，工具会自动扫描三类账号：面板登录用户、数据库用户、FTP用户，自动识别弱密码风险
• 检测完成后，页面会列出所有存在风险的账号，点击每个账号右侧的「修改密码」，设置8位以上包含大小写字母、数字、特殊字符的新密码即可完成修复

如果你的面板找不到弱口令检测模块，说明版本过低，执行以下命令升级面板即可：

``` Centos升级命令 curl -sS https://download.bt.cn/install/update6.sh|bash Ubuntu/Debian升级命令 wget -O update6.sh https://download.bt.cn/install/update6.sh && bash update6.sh ```

升级完成后刷新面板后台，就能找到弱口令检测模块，还可以在「设置」-「通知设置」中开启风险通知，后续面板自动检测到新增弱密码会通过短信/邮件通知你，不用手动定期检测。

方法二：SSH全量深度检测（适合多站点服务器）

如果需要新增检测系统用户弱密码，或者需要批量扫描全服务器所有账号，可以用开源深度检测脚本，步骤如下：

步骤1：拉取检测脚本

在终端执行以下命令，拉取开源检测脚本并赋予执行权限：

``` wget https://gitee.com/wh20082008/weak_pass_check/raw/master/weak_pass.sh && chmod +x weak_pass.sh ```

步骤2：执行全量检测

执行以下命令，脚本会自动扫描系统用户、面板用户、数据库、FTP所有账号的密码强度：

``` bash weak_pass.sh ```

等待2-5分钟后，终端会输出所有风险结果，格式为「服务类型 账号 风险等级」，高风险的弱密码需要优先修复。

步骤3：分类修复风险账号

• 系统用户弱密码：执行passwd 用户名，按提示输入新密码即可，比如修改root密码直接执行passwd root，修改root密码后务必牢记新密码，避免无法登录服务器
• 面板用户/FTP/数据库弱密码：和方法一一致，直接在面板对应菜单修改密码即可
• 核心注意事项：修改数据库密码后，必须同步修改网站配置文件中的数据库连接密码，否则网站会出现连接数据库错误，配置文件一般在网站根目录，文件名多为config.php、wp-config.php、.env这类，找到数据库密码项替换为新密码即可

修复完成后的验证步骤

所有弱密码修改完成后，需要重新检测确认风险消除：

• 使用面板工具检测的，回到「安全」-「弱口令检测」，重新点击「开始检测」，确认没有风险项输出即为完成
• 使用脚本检测的，重新执行bash weak_pass.sh，确认原风险账号不在结果列表中即为完成

日常安全防护规范

• 所有账号禁止使用123456、admin、password、服务器IP这类常见弱密码，强制要求密码长度不低于10位，组合包含大小写字母、数字、特殊字符
• 开启宝塔面板的登录IP限制和暴力破解保护，路径为「面板设置」-「安全」，可以大幅降低暴力破解概率
• 每1-3个月定期做一次弱密码检测，新增账号后及时检查密码强度
• 不同服务器、不同服务不要复用同一套密码，避免一处泄露导致全平台被入侵