最近跟几个做运维的朋友聊了一圈，发现一个挺普遍的现象——好多公司的安全配置，基本停留在“装个杀毒软件就完事”的阶段。更夸张的是，不少人觉得系统装好就能直接上线，默认密码不换、端口不改、补丁不打，就这么裸奔着。

在这些默认配置背后，攻击者早就把“欢迎光临”四个大字贴你家门上了。

这事说起来挺讽刺的。一个设备出厂时的初始密码，网上搜一下就出来了，偏偏有大量企业就挂着这个密码跑了好几年。攻击者根本不用费劲，每天开着扫描器全网扫，看到端口开着就上来试一把，跟挨家挨户试钥匙似的。而且这东西从来不是孤立事件——只要一台机器被摸进来，后面网页篡改、数据泄露一套流程走下来，前后都挨不着几天。

先说入侵这步，攻击者是怎么进来的。

很多企业以为有防火墙就没事了，实际上最脆弱的往往是人。年前闹得挺凶的那波勒索攻击，很多中招的公司的突破口都不是什么0day，就是VPN没开多因素认证。攻击者用撞库的手段拿到账号密码，顺着VPN隧道就进了内网。

进去之后呢？他不会立刻搞破坏，反而挺安静的。先把权限维持住，找个不显眼的地方种个后门。最常见的是上传WebShell，藏在图片目录或者静态资源文件夹里，表面看就是个普通文件，实际上是一段能执行任意命令的网页脚本。管理员扫目录扫不出来，不查访问日志根本发现不了。

等到时机成熟，攻击者就开始横向移动。内网环境里，如果域控没做权限分层、服务器之间没有网络隔离，那基本就是一条路走到黑——从这台机器跳到那台机器，密码抓一圈，最终拿下核心系统。

等攻击者站稳脚跟，挂马就来了。

有家电商公司，去年吃过一次大亏。他们的网站后台用了套开源CMS，管理员登录地址还是默认的/admin，密码设了个最简单的8位数字。某天凌晨，攻击者通过一个公开的漏洞拿到后台权限，在首页模板里插了一行JS代码，指向一个恶意域名。

白天用户正常访问网站，浏览器一加载这行代码，就开始自动下载木马程序，或者跳到一个仿冒的登录页面骗用户输密码。关键是表面完全看不出异常，页面样式没变，内容没变，就多了一行不起眼的脚本。

等到搜索引擎的爬虫检测到异常，把网站标成“危险”，流量已经掉了七八成。更麻烦的是，大量用户的浏览器被劫持，账号密码泄露，投诉电话从早到晚没断过。这个公司最后花了两个多月才把搜索引擎的“红标”申诉回来，期间损失了多少钱，他们负责人都不愿意提。

挂马的本质说白了就是信任滥用——用户信任你的网站，而你的网站被攻击者利用了去坑用户。一旦中招，不光是丢流量，连带着公司信誉一起赔进去。

数据泄露是这串连锁反应的最后一环，也是代价最大的一环。

很多公司的数据库设置在我看来是完全不可理喻的。MySQL的3306端口直接对着公网开，连IP白名单都不配。问就是“开发方便，测试环境这么搞的，上了生产忘改了”。

攻击者拿到WebShell之后，扫一下内网，发现数据库就在旁边，账号密码还是配置文件里明文写的默认值（很多人连root密码都不改）。连上去之后，一条SELECT语句就能把整个用户表导出来。手机号、身份证号、家庭住址、交易记录，全在里头了。

前阵子有个做在线教育的公司就是这么翻的车。攻击者拖走了两百万条用户数据，扔到暗网上卖。没过多久，用户陆续收到精准的诈骗电话，对方能准确报出孩子的姓名、报名课程、家长手机号。这事儿被媒体曝光后，不仅品牌声誉彻底崩塌，网信办还依据《个人信息保护法》开了一张上千万的罚单。那个CEO在行业群里说了一句话我印象特别深：“早知道当初花两千块钱买个WAF，也不至于赔进去半个公司。”

那到底该怎么补这个窟窿？说几个实际能落地的。

第一件也是最要紧的，把多因素认证开起来。所有对外暴露的系统——VPN、邮件、后台管理、云平台控制台——全部强制启用MFA。这玩意儿能挡住90%以上的账号密码暴力破解，成本几乎为零，效果却立竿见影。

第二，关闭非必要端口，数据库千万别直连公网。MySQL的3306、Redis的6379、MongoDB的27017，这些端口如果必须开放，至少加上IP白名单，限制只有应用服务器能连。更规范的做法是走内网VPC或者跳板机，业务层和存储层物理隔离。

第三，把漏洞补丁当紧急事件处理。很多攻击利用的都是已经公开了好几个月甚至一年的CVE，比如Log4j、Spring4Shell、Exchange ProxyShell。攻击者拿到POC之后，全网扫一遍，没打补丁的直接拿下。建议把高危漏洞的修复时间压缩到24小时以内，这不是可选项，这是必须项。

第四，Web应用防火墙值得装。它能拦截SQL注入、XSS、路径遍历、恶意文件上传这些常见攻击。几百块钱一个月，比你被挂马之后请人应急、赔用户、缴罚款要便宜得多。

第五，做权限最小化。数据库账号不要用root，按库按表分别授权；服务器上跑的应用用专门的系统账户跑，别直接扔在root下；云平台的RAM账号只给必要权限，删掉那些常年不用、权限贼大的老账号。

第六，日志得开着、得有人看。很多公司被入侵了都不知道，不是因为攻击手段多高明，是因为日志压根没人查。把访问日志、操作日志、登录日志接到统一平台，开几个简单的异常告警——比如半夜3点有批量登录失败，或者从来没从境外来过流量突然冒出个印度IP——有事就有人响应。

说到底，别觉得“等出事再说”是种选择。

网络安全这事的残酷之处在于，它从来不存在“运气好”这一说。你所有偷的懒、跳过的配置步骤、贪图方便留下来的默认设置，最终都会变成攻击者手里的武器。而武器不会生锈，它只会在你不知道的时候，被人捡起来，对准你的要害。

花个半天把基础安全捋一遍，抵得上出事之后熬夜加班、赔钱道歉、修复品牌口碑的那几个月。这笔账，怎么算都不亏。