宝塔面板被扫描后的应急处置清单

面板端口暴露在公网，日志里出现大量 /login 的 POST 请求是常态。真正需要动手的信号有三个：登录失败次数暴增、出现陌生 IP 的成功登录记录、面板自身进程占用异常。

第一步：先确认有没有被进

不要急着改密码，先取证。面板的登录日志、系统认证日志要各看一遍：

grep -c "Failed password" /var/log/auth.log
last -20
grep "Accepted" /var/log/auth.log | tail -20

重点看成功登录的来源 IP 和时间点，跟自己的操作记录对一遍。这一步做完再动手，否则证据被新日志冲掉。

第二步：封掉入口，而不是只改密码

改密码是必须的，但更有效的是把入口收窄：面板端口不要用默认的 8888，改成高位端口；能上 fail2ban 就给登录失败加自动封禁；有条件的话把面板只监听回环，用 SSH 隧道访问，暴露面直接归零。

第三步：排查有没有留后门

• 检查 /www/server/panel/data/ 下是否出现陌生文件，尤其是带时间戳的脚本。
• 检查 crontab（root 与 www 两个用户都要看）有无陌生任务。
• 检查网站目录里近期被修改的 php 文件：find /www/wwwroot -name "*.php" -mtime -7。
• 检查是否有陌生 SSH 公钥写进 authorized_keys。

第四步：收尾与加固

确认干净后：更新面板与所有插件版本、关闭不用的 FTP 与数据库外网访问、给面板加二次验证、把面板的访问日志接入每日巡检，异常登录直接推消息。

最后一条经验：面板被扫不可怕，可怕的是被封了却没人知道。所以"能发现"比"能挡住"更重要。

本文首发于 izzsj.com，作者保留全部权利。未经书面授权，禁止任何形式采集、转载与镜像；转载请注明来源并保留原文链接。