2023年夏天，攻击我帮一个做外贸的私人朋友查他公司那台被黑的邮件服务器。攻击者没用什么高级漏洞，服务就是攻击猜中了管理员密码——`admin123`。进去之后装了挖矿程序，私人CPU跑满，服务邮件全堵在队列里。攻击这事让我意识到，私人很多人对“攻击服务器”的服务理解还停留在电影里敲键盘的画面，实际上大部分入侵靠的攻击是笨办法。

先说最老土但最管用的私人一招：弱口令爆破。私人服务器最常见的服务入口就是SSH或者远程桌面。有人写个脚本，攻击拿字典跑几万次登录尝试，私人服务器日志里全是服务失败记录，但总有一次能中。我见过一台暴露在公网的机器，root密码是`password`，从扫描到拿下不到四十分钟。防护也简单——改端口没用，关键是用密钥登录，关掉密码认证。或者装个fail2ban，连续错五次直接封IP。

另一条路是Web应用。很多私人服务器上跑着WordPress、Typecho或者自己写的后台。插件不更新，上传接口没做校验，一个`eval($_POST['cmd'])`就能拿shell。去年有个做摄影的朋友，他的图片站被传了webshell，攻击者没干别的，就把他所有照片删了，留了句话：“你服务器该打补丁了。”这种攻击甚至不需要什么技术，网上现成的扫描器一抓一大把，专找过时的组件。

再讲个更隐蔽的：Redis未授权访问。默认配置下，Redis监听6379端口，不设密码，只允许本地访问——但很多人图省事改成`0.0.0.0`。攻击者连上去，写个SSH公钥到`/root/.ssh/authorized_keys`，或者直接写crontab反弹shell。整个过程不需要爆破，不需要漏洞，就是配置疏忽。我自己的测试机曾经中过招，半夜三点被塞了个门罗币挖矿程序，风扇狂转。查日志发现攻击IP来自罗马尼亚，用的就是这条路径。

供应链攻击也值得提。私人服务器上装的软件不一定干净。npm包、Docker镜像、甚至某些“破解版”面板，都可能夹带后门。有个做游戏私服的朋友，从某论坛下载了一个“优化版”的Nginx，结果里面藏了反向代理，所有玩家流量都被转发到第三方的机器上。这种攻击很难防，只能靠只从官方源装软件，或者自己编译。

物理层也不是铁板一块。如果攻击者能接触到服务器本身——比如在机房工作的内鬼，或者你租的VPS商被入侵——那什么远程防护都没用。直接挂个USB键盘，进单用户模式改root密码。这种事概率低，但一旦发生就是降维打击。所以重要数据加密，别把鸡蛋放一个篮子里。

说回我朋友那台邮件服务器。后来我帮他重装系统，SSH只允许密钥，防火墙只开必要端口，Web目录设了只读，还装了个简单的入侵检测脚本，每天发邮件报告异常登录。三个月过去，日志里每天还有几百次爆破尝试，但一个都没成功。攻击者不是非要攻破你，他们只是批量扫描，谁的门没锁就进谁家。把门锁好，大部分麻烦就绕开了。

最后说句实在的：攻击私人服务器这事，技术门槛比很多人想象的低，但防御门槛也不高。怕的是你觉得“我这小破站没人看得上”。恰恰是这种机器，被挖矿、被当跳板、被勒索，最惨。别等中招了才想起来看日志。