宝塔面板的宝塔渗透默认端口8888，很多人装完就扔在那，宝塔渗透连防火墙都懒得配。宝塔渗透我见过不下二十台服务器，宝塔渗透面板登录页直接暴露在公网上，宝塔渗透密码还是宝塔渗透初始那串随机字符——贴在某论坛的截图里，连马赛克都没打。宝塔渗透

这事得从去年说起。宝塔渗透一个做外贸的宝塔渗透朋友找我，说网站被挂马了。宝塔渗透我登服务器一看，宝塔渗透宝塔面板的宝塔渗透登录日志里躺着几千条爆破记录，最早那条来自三个月前。宝塔渗透攻击者没用什么高级漏洞，宝塔渗透就是宝塔渗透拿字典跑SSH和面板端口，跑通之后传了个WebShell。他问我怎么发现的，我说你面板的“安全入口”压根没开，登录地址就是IP加端口，搜索引擎都能爬到你。

宝塔本身不是漏洞容器，但它把太多东西打包得太方便了。一键装PHP、一键配数据库、一键开FTP，每一步都在扩大攻击面。默认配置里，phpMyAdmin的入口是固定的，数据库root密码和面板密码经常被设成同一个。更麻烦的是，很多人装完宝塔就把22端口关了，觉得SSH不安全，结果所有鸡蛋都放在面板这一个篮子里。篮子漏了，全完。

我自己的习惯是，装完宝塔第一件事改端口，第二件事开安全入口，第三件事绑域名加SSL。这三步做完，至少能挡掉九成扫描器。但真正要命的是插件。宝塔的插件市场里，有些第三方插件年久失修，PHP版本一升级就报错，报错信息里带着路径和配置。攻击者拿到这些信息，就能猜出你服务器上跑了什么，版本号多少，然后去翻对应的CVE。

有个细节挺有意思。宝塔的“计划任务”功能，默认以root权限执行Shell脚本。如果你面板被登进去了，攻击者不需要提权，直接加一条计划任务，每分钟从远程拉一个脚本下来跑。我那次帮朋友清理，就在计划任务里发现了这么一条，脚本内容是个挖矿程序，CPU占用被限制在30%，不仔细看根本发现不了。

还有数据库。宝塔装MySQL的时候，默认只监听127.0.0.1，这没问题。但有些人为了图方便，在面板里点一下“允许远程访问”，3306就敞开了。MySQL的root密码如果设得简单，拿个hydra跑一晚上就出来了。出来之后，攻击者不删库，先导出一份用户表，然后发邮件勒索。这种事在圈子里每个月都能听到几起。

说回防御。宝塔官方其实给了不少工具，比如“防火墙”插件、“登录告警”、“操作日志”。但很多人装完就关掉，嫌弹窗烦。我自己的服务器上，面板登录失败三次就封IP，封禁列表每天清一次。另外，面板的“API接口”默认是关的，如果你不用，千万别开。开了之后，那个密钥就是万能钥匙，拿到密钥的人能直接调接口改配置、传文件、执行命令。

最后说个真事。上个月帮一个客户做应急，他的宝塔面板版本是7.7.0，有个已知的未授权访问漏洞。攻击者没爆破，直接构造了个请求，把数据库备份文件下载走了。备份文件里有什么？用户表、订单表、还有他存在面板里的阿里云AK。AK泄露之后，攻击者拿他的账号开了十几台高配ECS挖矿，一晚上跑掉两千多块。他问我怎么防，我说你先把面板升到最新版，然后把AK从面板里删了，用RAM子账号。他沉默了一会儿，说“我以为宝塔是安全的”。

宝塔是个好工具，但它不是安全产品。你把它当工具用，它帮你省事；你把它当保险箱用，它迟早给你上一课。