我见过太多服务器被攻破的口令案例，十有八九都跟SSH弱口令脱不了干系。漏洞去年有个朋友的何解公司，数据库被勒索病毒加密，口令查了半天原因，漏洞就是何解运维人员把root密码设成了“admin123”。这种事儿听着荒唐，口令但每天都在真实发生。漏洞

SSH弱口令漏洞的何解根源其实就一句话：密码太简单，或者根本没人管密码。口令攻击者根本不需要什么高深技术，漏洞拿现成的何解密码字典暴力破解就行。我见过最快的口令破解记录，一个弱口令服务器不到五分钟就被拿下了——扫描端口、漏洞尝试登录、何解植入木马，一气呵成。

解决这个问题，最直接的办法就是禁用密码登录，改用密钥认证。具体操作不复杂：在服务器上生成一对密钥，把公钥放到服务器的authorized_keys文件里，然后修改sshd_config配置文件，把PasswordAuthentication改成no。这样就算密码泄露，没有私钥也进不来。我自己管理服务器从来都是这么干的，省心得很。

但有些场景确实离不开密码登录，比如临时给同事开个访问权限。这时候就得靠密码策略兜底：强制密码长度至少12位，包含大小写字母、数字和特殊字符。别嫌麻烦，攻击者的字典里早就不装纯数字和生日组合了，你设个“P@ssw0rd2024”都比“password123”强百倍。

光改密码还不够，还得防着暴力破解。装个fail2ban工具，连续输错五次密码就封IP半小时。这工具配置起来也简单，默认规则就够用。我见过有人嫌麻烦不装，结果服务器日志里全是来自俄罗斯和巴西的扫描记录，看着都瘆人。

还有一点容易被忽略——SSH端口。默认的22端口是扫描器的首选目标，改成高位端口能挡掉一大批自动化攻击。虽然这不算什么高明的安全措施，但能减少大量无效日志，让真正可疑的行为更容易被注意到。

最后提醒一句：定期检查服务器上的登录日志。用grep命令搜一下“Failed password”的记录，如果发现大量来自陌生IP的尝试，说明你已经被盯上了。这时候别犹豫，立刻执行上面说的措施，该改端口改端口，该上密钥上密钥。

安全这事儿，从来都是防患于未然。等真被攻破了再补救，付出的代价可比提前防护高得多。别问我怎么知道的——那些半夜爬起来处理入侵事件的经历，我不想再经历第二次了。