【服务器登录防护】

你有没有遇到过这种情况？上周朋友小李的网站后台被盗了，丢了所有用户手机号和订单数据，折腾3天才恢复一半。后来查原因，是被“撞库”——机器人跑了几亿个常见密码组合，最后猜中了他的“123456admin”。要是你管着服务器、网站或者后台，别等出事再补防护，这篇文章的3招，看完今天就能用上。

一、先把密码换成“机器人完全猜不到”的

1. 别用生日、手机号、123456当密码

很多人图方便，用自己的生日、手机号后6位，或是“123456”“admin”这种烂大街的组合。去年某电商平台后台被撞库，80%受害者用的都是这类密码。

避坑提醒：哪怕懒，也别拿这些当服务器登录密码，机器人的优先测试项就有这些。

2. 用“乱搭组合”，别按规则写

不是说“字母+数字+符号”就行，而是要随便拼，别按“姓+号”的格式来。比如别叫“Xiaomi123!”，改成“P$8k@3m7x”。

操作也简单：随便敲几行键盘字符，记住就行，怕忘就用密码管理器存，别写在桌面或贴显示器上。

二、把登录入口藏起来，不让机器人乱找

1. 改默认登录路径

不管是服务器SSH、网站后台，还是宝塔面板，都有默认登录地址，比如WordPress的/wp-admin、宝塔的/bt，这些都是机器人天天扫的固定地址。

操作：用宝塔的话，直接点“网站→设置→安全→后台路径修改”，改成比如/secret_2024_7，自己记清。如果是纯代码，直接重命名后台入口文件就行。

避坑提醒：别改太复杂，比如用“1a2b3c”这种，别让自己记不住。

2. 只让指定IP能登

如果只有你自己登服务器/后台，就把家里、公司的IP填到防火墙里，别人根本打不开登录页。

操作：用阿里云的话，去“安全组”加规则，端口22（SSH）、8888（宝塔），来源填你自己的IP，其他全部拒绝；用宝塔的话，点“访问控制”，只允许指定IP访问。

避坑提醒：出差前记得改回允许自己电脑的IP，不然登不上要哭。

三、来了陌生登录直接拦，别等出事才反应

1. 开登录失败锁定

输错密码超过5次，直接锁15分钟，就算机器人一直试，也拿你没办法。

操作：用宝塔的话，点“安全→防暴力破解→开启”，设置“5次失败锁15分钟”，点一下按钮就成，不用敲代码；SSH的话，用Fail2ban工具，10行代码搞定，怕麻烦就用面板功能。

代码参考（简单版）： ``` systemctl enable fail2ban systemctl start fail2ban ```

2. 加二次验证

就算密码被偷，也要输验证码才能登，比如手机验证码，操作超简单。

操作：宝塔里点“后台安全→二步验证→绑定手机号”，之后登后台要输密码+手机验证码，就算黑客偷了你的密码，也登不上。

举个例子：上个月同事的服务器密码被撞库，因为开了二次验证，对方输密码后没验证码，连门都进不去。

今天就别等了，先做这几件小事：改个乱拼的密码，要是用宝塔先改后台路径开防暴力破解，再绑定二次验证。别觉得麻烦，要是真被盗，恢复数据花的钱比10分钟改防护多太多。就这几步，今天就能搞定，别拖到下次想起。