勒索病毒的入口长什么样；老组件加弱口令

勒索病毒长样老组件加弱口令——这几个词拼在一起看着别扭，问的其实是同一件事：攻击者到底从哪台机器、哪个账号进来的。这些年经手过的加密事件，真靠什么高级手法打进来的极少，绝大多数就三样：一台本该只在内网开的机器挂在公网上，一个 admin 配 123456 的账号，一个早该下线却还在跑的老组件。入口一点都不神秘，甚至有点无聊。

勒索病毒长样老组件加弱口令，入口就那几类

把入口归归类，花样真不多。暴露在公网的远程桌面 3389、SSH 的 22；VPN、防火墙这类边界设备的历史漏洞；OA、ERP 这些办公系统的老版本；Redis、MySQL、MongoDB 监听在 0.0.0.0 又没设认证；再就是邮件附件和钓鱼页。前几类最省事，因为不用骗人——扫描器全网扫一遍，有回应的就记下来，剩下的交给字典。

所以看到有人问“我们没得罪谁怎么会被盯上”，这问题本身就问错了。攻击不分你是不是大站，扫到了就试，试开了就进，进去先看能不能横向，能横向就等一个周末动手。

3389 摆在公网上，密码简单等于没锁门

远程桌面爆破是成本最低的一条路。开个工具对着一个 C 段慢慢跑，账号密码撞上了就登进去，登进去第一件事不是加密，是关掉杀软、看有没有别的机器可连。安全日志里那一串 4625 就是信号，可惜很多人根本不看日志，等桌面壁纸变成一封勒索信才发现。

改端口有用但不够，扫描器是全端口扫的。真正管用的是三道：只允许固定来源 IP 连、走堡垒机或 VPN 再跳、账号开双因素。三条里做到两条，爆破这条基本就堵住了。做不到的话，至少把 Administrator 改名、把密码换成长口令、把账号锁定策略打开。

弱口令坑人的地方，是它不像个漏洞

漏洞有编号、有补丁、有厂商公告推送，弱口令什么都没有，没人给你发通知。它藏在几个特别不起眼的位置：装系统时随手填的 root 密码，测试环境用完没删的 test 账号，离职同事留下的登录名，数据库允许空密码本地登录，还有某个后台管理员账号密码和用户名一模一样。

更要命的是“内网就没事”这个想法。勒索病毒一旦进到一台机器，第一件事就是读本机的配置文件和连接串，找到数据库和共享目录的凭据，然后横向。所谓内网，只是从一台被攻陷的机器看过去的一段路而已。

老组件为什么一直老着

不是不想升，是不敢升。业务跑在 Struts2 或者老版本 WebLogic 上，升级要停业务、要写测试用例、要有人验证，出了问题谁担？外包早就结款走人了，运维手上只有一份交接文档。于是挂个 WAF 规则挡一挡，就当处理过了。

WAF 能挡公开的 POC，改两个字符绕过去的时候它经常不吭声。比较现实的做法是分三步：先把组件版本摸清楚，哪些在官方已经停止维护（EOL）了标出来；再把这些服务从公网挪到内网，前面加一层反向代理只放必要路径；最后给一个明确的升级窗口，哪怕一个季度升一个。别指望一次全升完，那不现实。

日志里能看出入口在哪

中招之后最怕的就是急着重装。重装之后入口没了，也就永远不知道是从哪进来的，同一套环境搬回去，过几个月大概率再来一次。所以先看日志：Web 访问日志里找 POST 到奇怪路径、返回 200 的可疑上传；Windows 安全日志里看 4624 登录类型 10 的记录和一堆 4625；Redis 的 CONFIG SET 和 SAVE；防火墙会话表里对外连的异常 IP。

很多机器的日志默认只留几天就滚掉了，甚至根本没开。这事平时看不出价值，出事那会儿就是全部线索。日志外送一份到另一台机器或者对象存储，成本不高。

备份做了一半，等于没做

见过太多次，备份任务是成功的，备份文件就在那台被加密的机器上，或者挂在一个同网段、同账号就能读写的共享盘里。勒索病毒加密完本地顺手就把共享盘也加密了，备份和原数据一起完蛋。

判断备份靠不靠谱只看一条：能不能在另一套环境里恢复起来，并且恢复过程中那台机器碰不到原网络。离线一份、异地一份、至少一份是写一次就不能改的，这是底线。定时做恢复演练，别只看任务状态是绿的。

真中招了，先做哪几件事

第一步断网，拔网线比直接关机稳，关机可能丢掉内存里还有用的东西。第二步别格式化，先做镜像、留日志。第三步查横向，看有哪些机器用同一批账号、同一个共享目录。第四步才轮到恢复，恢复前把入口补掉。要是域环境，还得检查域控有没有被动过，这块超出自己能力就找专业的人，别硬扛。

一份能照着走一遍的检查清单

公网暴露的端口拉一遍，3389、22、数据库端口有没有直接对外；所有设备的默认口令改掉，尤其是边界设备和监控平台；组件版本列个表，标注哪些已停止维护；备份做一次真实恢复；日志留存时间确认一下；管理员账号按人分配，别一个 root 走天下；最后给这些事定个复查周期，半年一次不算勤快。

安全这事没有一劳永逸，入口也不会自己消失。能做的是把最容易走的那几条路先堵上——密码改掉、端口收掉、老组件排上日程。剩下的，交给时间和日志去发现。