去年我帮一个开淘宝店的为防朋友排查服务器，发现他后台被挂了个挖矿脚本。止黑做法CPU占用率飙到100%，入侵店铺页面卡得像幻灯片。下列查了半天，有效原因特蠢——他为了省事，为防把数据库的止黑做法root密码设成了“123456”。

黑客压根没用什么高端手段，入侵就是下列拿自动化工具扫了一圈弱口令，撞库撞进去的有效。这事让我明白一个道理：防黑客，为防九成功夫在基础卫生，止黑做法不在玄学。入侵

最有效的下列做法，说出来你可能不信——**关掉你用不到的有效服务**。很多人买了云服务器，默认开了FTP、Telnet、Redis外网端口，全是为了“万一以后用得上”。结果这些端口成了黑客的后花园。我见过最离谱的案例，某公司把MongoDB裸奔在公网，连密码都没有，几分钟就被勒索软件把数据全加密了。你不需要的服务，就该直接卸载或者禁掉，一个不留。

第二件要紧事，是**给所有账号上双因子验证**。密码这玩意儿，再复杂也架不住钓鱼。我自己的经验是，凡是支持TOTP（就是那种30秒变一次的验证码）的服务，一律绑上。别嫌麻烦，黑客拿到你的密码和拿到你的手机，难度完全不是一个量级。有次我收到一封伪装成阿里云的钓鱼邮件，做得特别逼真，差点就点了。但因为我开了二次验证，就算密码真被套走，他也进不来。

第三点可能反直觉：**别急着打所有补丁**。这话不是让你不更新，而是让你分清优先级。操作系统和中间件的安全补丁必须第一时间打，但某些功能更新可以缓一缓。为什么？因为有些补丁本身会引入新bug，甚至安全漏洞。去年某知名杀毒软件自己就出了个远程执行漏洞，比它防的病毒还危险。我的习惯是：官方标记为“安全更新”的，立刻打；标记为“功能改进”的，等一周看看社区反馈再动。

再说个大家容易忽略的：**备份要备到“离线”地方**。很多公司天天做备份，但备份磁盘和服务器连着同一个存储网络。勒索病毒一进来，把在线备份一起加密了，哭都来不及。正确做法是，至少保留一份物理隔离的备份，比如定期拷到移动硬盘然后拔下来锁抽屉里。我认识一个做设计的哥们，工作室被勒索了，所有作品全锁死，但因为每周五会把重要文件拷到一块旧硬盘里，损失控制在了一周的工作量内。

最后聊聊人的问题。**别在公开场合炫耀自己的系统有多牛**。有次我在技术群里看一个人吹自己公司的安全架构，连内网IP段、防火墙品牌都说了。结果不到一个月，他们就被定向攻击了。黑客也是讲情报的，你等于把地图送人家手里了。

说到底，防黑客没有一劳永逸的银弹。但你要是能把默认密码改了、多余端口关了、二次验证开了、离线备份做了，就已经挡住了90%的脚本小子。剩下的那10%，是APT（高级持续性威胁）级别的对手——真遇上那种，认栽吧，人家连微软都能进。

(责任编辑：热点)