很多人在云上部署服务时，先把环境跑起来是第一要务，密码往往留到以后再说。阿里云默认密码的问题，恰恰容易在这种习惯里被忽略。服务器或数据库一旦暴露在公网，就会有自动化工具来回扫描，弱口令和仍在使用初始密码的实例通常很快被盯上。
阿里云没有统一的通用默认密码
先说清一个常见误解。阿里云不会给所有用户设置同一个通用默认密码。云服务器 ECS 的登录密码一般由用户在购买或创建实例时自己设定，忘记了可以在控制台重置。不同产品、不同镜像的初始账号和密码规则可能不一样，具体以阿里云官方文档和控制台提示为准。
没有统一默认密码，并不代表就安全。实际的风险主要来自两种情况。第一种是团队把测试阶段随手设的简单密码一直用到上线。第二种是部分第三方镜像、中间件或数据库组件自带出厂账号，部署后没有改。这些“默认”状态一旦被外部知道，就成了入侵的入口。
一个很典型的入侵过程
下面是一个脱敏后的假设场景，但它和很多团队的真实做法很接近。某初创团队为了快速验证功能，开了一台云服务器，登录密码用的是团队里常用的简单组合，安全组里还对外放开了远程登录端口。测试结束后，服务器没有下线，也没有人再去看它。
几周后，服务器的 CPU 占用持续异常。排查时发现，攻击者通过暴力破解 SSH 登录进来，植入了挖矿程序，还尝试访问同一账号体系下的其他服务。团队没有开登录日志告警，直到费用账单明显变高，问题才浮出水面。
这件事并不是因为什么高深漏洞。弱密码、端口全网开放、没人维护的测试资源，三个基础问题叠在一起，就足够了。
排查与修改的五个步骤
- 盘点资产：在控制台列出所有 ECS、RDS、Redis 等实例，标出仍在运行的和已经不用的。不用的实例直接释放，别让它继续在公网上躺着。
- 检查账号：逐台确认系统账号、数据库账号和中间件管理账号。无用的账号删掉，保留的账号要核对是否还在用出厂密码或初始密码。
- 修改密码：对需要保留的账号，换成高强度密码，并同步更新应用里的配置。改完先确认服务能正常连接，再结束这一步，避免有人为了省事又把密码改回去。
- 收紧安全组：远程登录端口只开放给固定的办公 IP。数据库端口一般不需要直接暴露在公网，有需要的话，优先走内网或专线。
- 开启审计：打开操作日志和登录日志，给异常登录和资源用量突增设置告警。告警通知要发到真正有人看的地方，否则等于没有。
设置密码时要注意什么
- 长度要够：建议不少于 12 位，同时包含大小写字母、数字和特殊字符。长度比花哨的符号更能挡住暴力破解。
- 别用好猜的规律：生日、公司名、产品名、键盘上连续的按键，都是攻击字典里的常客。
- 一个账号一个密码：不同系统之间不要复用。否则一处泄露，其他地方跟着失守。
- 管理员账号定期更换：人员变动时，离职人员的账号要当天回收，不要等下一次审计。
- 尽量用密钥登录：服务器优先使用 SSH 密钥对，确认密钥可用后再关闭密码直接登录。顺序反了，很容易把自己锁在外面。
让这件事持续下去
改一次密码只能解决眼前的问题。要想不反复出事，得把它变成固定流程。比如在项目上线前加一份安全检查清单，把“是否已修改初始密码”列为必选项，没打勾就不能上线。
测试环境也要有人管。可以给测试资源设定自动释放时间，到期没人续期就回收。另外，定期用云平台提供的安全评估工具扫一遍资产，发现弱口令、暴露端口或长期闲置的实例，及时处理。
阿里云默认密码的问题看起来不复杂，却常常是安全事件的起点。与其等账单异常或数据泄露再补救，不如在部署时就把密码、端口和账号理清楚。习惯养成之后，大部分基础风险都能挡在门外。
