2023年秋天，何入我帮一家小型电商公司做安全巡检。侵服他们的何入运维图省事，把测试环境的侵服SSH端口映射到了公网，密码是何入admin123。我用一台云主机跑了三分钟的侵服字典扫描，就拿到了root权限。何入整个过程没有触发任何告警。侵服这不是何入电影里的黑客桥段，而是侵服每天都在发生的低级失误。

入侵服务器这件事，何入九成靠的侵服是目标自己留的门，剩下那一成才是何入技术。很多人脑子里浮现的侵服是敲代码、绕防火墙、何入跟安全团队斗智斗勇。真实情况无聊得多：翻泄露的密码库、试默认口令、找没打补丁的服务。攻击者最喜欢的是那种装了三年没更新的WordPress站点，插件列表里躺着五六个已知CVE漏洞，随便挑一个就能上传webshell。

拿SSH来说。公网暴露22端口本身就是个信号。我见过一家公司把22端口改成了2222，觉得这就安全了。但扫描器扫全网2222端口跟扫22端口花的时间一样。真正有用的是密钥认证加fail2ban，可很多中小团队嫌麻烦。密码撞库的成功率取决于目标员工有没有在别的网站用过同样的密码——LinkedIn那次泄露的7亿条记录，至今还在暗网流通，几块钱就能买到。

Web应用是另一个重灾区。SQL注入这东西讲了二十年了，照样有人中招。原因不复杂：外包团队赶工期，参数直接拼进SQL语句。我试过一个后台登录框，输入 ' OR 1=1 -- 就进去了。进去之后发现数据库账号是sa，权限全开。这种站不用“入侵”，它自己就敞着门。

文件上传漏洞更直接。有些站点只检查前端JS里的文件后缀，抓包改成.php照样传上去。传上去之后访问路径，一个中国菜刀就连上了。我见过最离谱的是一个教育机构的上传接口，连后缀都不改，直接叫shell.php，放在web根目录下。这跟把钥匙插在门上没区别。

内网渗透是另一回事。拿到一台边缘服务器之后，攻击者会翻配置文件找数据库密码、找内网IP段、找跳板机。很多公司外网防得还行，内网却完全裸奔——没有VLAN隔离，没有流量监控，一台机器被控就能横向移动到核心业务库。我做过一个测试，从一台打印机入手，四十分钟摸到了财务系统的数据库。打印机？对，那台打印机跑着没改密码的默认Web管理界面。

说这些不是教人使坏。我想表达的是，服务器安全这件事被太多人想复杂了。你不需要零日漏洞，不需要APT级别的技术。你只需要比目标的管理员勤快一点——勤快地去查CVE公告，勤快地去翻GitHub上泄露的配置文件，勤快地去试那些“应该没人会用的”默认密码。

防御的起点也很简单：别把测试环境暴露到公网，别用弱口令，别让服务三年不更新。这些事听起来像废话，但每次出事之后回头看，原因基本都是这些废话没做到。安全圈有句话：攻击者只需要找到一个入口，防守者需要堵住所有入口。现实是，很多防守者连自己有多少个入口都不清楚。

(责任编辑：焦点)