第 N 次重建博客：一次服务器安全教训

之前折腾过好几个博客测试站，一直都风平浪静。可能是因为那些站大多跑在私人电脑或者临时环境里，没有长期暴露在公网，所以也就没太把安全这件事放在心上。

结果最近服务器刚备案好，登录上去一看，差点把自己看沉默了：MySQL 的 root 密码居然一直是 123456。

更离谱的是，服务器里已经被人上传了一大堆乱七八糟的 *.dll 文件。再翻登录日志，里面全是各种北京 IP 的访问记录。虽然机器跑的是 Linux，不至于直接执行那些 Windows DLL，但看到那一堆东西躺在服务器里，还是很膈应。

为了保险起见，最后还是把整个硬盘重新格式化，服务器也重新配置了一遍。说实话挺烦的，本来只是想安安静静搭个小博客，结果先被迫上了一课：公网服务器真的不能拿测试环境那套习惯糊弄。

这次教训

• 数据库 root 密码绝对不能用弱密码，更不能用 123456 这种等于裸奔的密码。
• 服务上线到公网前，要检查 MySQL、SSH、面板、FTP 等入口的账号和权限。
• 能不开放到公网的端口，就不要开放；必须开放的，也要配好防火墙和访问限制。
• 发现异常文件和异常登录记录后，不要抱侥幸心理，重装虽然麻烦，但干净。

我这小破服务器里面真的什么都没有啊。老司机用的神秘代码都在我那台没网的破电脑里，别惦记我这点服务器空间了。

不要搞我的服务器啦~！