宜宾老板别慌，服务器被扫这件事我先替你踩完

有宜宾一家做跨境电商的老板接到机房电话，说他的服务器一晚上被扫了两千多次。我的建议是先别急着换机房，先把那段日志拷出来看。被扫本身不可怕，扫完之后没人看日志才可怕。

日志堆出一兆，先别急着删

日志堆到一兆，管理员第一反应是清空，腾地方。清完就找不到证据了。我们把那段日志拷出来看，真正要紧的是几个目录下面多出了不该有的文件。扫两千多次是自动化工具挨个端口试，不是有人专门盯上你。日志里留下的是时间、来源地址和请求路径，三样拼起来才看得出是哪一类工具。清空之后，连个时间点都对不上。

被扫的入口通常就三处

最常见的是管理面板用默认口令，后台弱口令这类组合在日志里能留下几万条失败尝试。撞库那几天网站照常开着，老板一点察觉都没有。第二处是数据库端口直接对公网开着，第三处是文件上传接口没限制大小，硬盘被撑满。

宜宾做跨境业务的公司多，中国（宜宾）跨境电子商务综合试验区那批站点本来就接海外请求。这类站点要单独设访问白名单，不能照着内网配置抄一份。宜宾港的货代和仓储企业官网也常在公网开端口，属于同一个毛病。

托管合同之外，你自己盯三件

• 面板和数据库端口不对公网，办公网段走跳板
• 上传接口限制单文件大小，日志留存不少于半年
• 每月看一次登录失败记录，看来源地址分布

我们交付前跑一遍自动化测试，再做代码审查和安全审计，交付的代码要过质量门禁。这道门禁是给我们自己上的，不是给客户看的。上线之后配置会慢慢松掉，这个我们管不了，能做的就是定期提醒。

被扫当天要做三件事

拿到告警先看两处：登录失败记录里有没有成功的，同一批请求打了哪些端口。只要没有成功登录的记录，换机器就是白花钱。再看文件有没有被改，改了什么。这些结论半天能出，出了再谈要不要动配置。

金沙江大道 13 公里一线做批发和电商的公司多，官网常年挂着。这类站被扫是常态，习惯看日志就当交房租。

服务器被扫的常见疑问

被扫两千多次算严重吗？

不算严重，自动工具全世界扫来扫去。要看的是日志里有没有成功登录的记录，没有就不用换机房。

换机房能解决被扫吗？

不能。扫的是你开着的端口和服务，换机房照样扫。口子收干净才是正经做法。

这类排查要花多久？

日志完整的话半天能出结论。我们按服务项评估，一案一价，先看日志再决定要不要动配置。

先看日志再谈换机房

技术类项目我们含 1 年免费维护，验收后交付完整源码。

宜宾信服无限接服务器运维托管这件事，会先教客户自己看一段日志。能看懂日志的人，被扫的时候心里有底。把现在的服务器配置和服务端口清单发来，我们先看哪些口子该收。