阿里云服务器默认密码还没改？登录后应先做什么

很多人第一次开通阿里云服务器，注意力都在选配置、选地域和看价格上。密码随手设一个，就往下走了。服务器跑起来、业务上线之后，这个密码多半再没人看过。阿里云服务器默认密码的风险，就是在这种“用完就忘”的习惯里慢慢积累的。

这篇文章不讲复杂的攻防技术，只从实际场景出发，说清楚默认密码为什么危险，常见失误出在哪里，以及开发者和运维人员可以怎样快速补上这一课。

一个常见的失守过程

某电商团队的小王负责搭建一套促销活动页面，在阿里云上开通了一台ECS实例，用来临时部署测试环境。创建时他图省事，设了一组简单的组合密码，心里想着上线前再改。活动结束后，测试环境没有及时下线，登录方式也一直没动。

几个月后，团队发现服务器CPU占用异常升高，流量曲线出现说不清规律的波动。排查才发现服务器上被植入了挖矿程序，攻击者正是靠弱口令登录进来的。好在这台机器只放测试数据，损失有限，但团队还是花了两天时间清理环境、重装系统、重新核查安全配置。

这类事情并不少见。问题往往不出在云平台本身，而出在人为疏忽上：密码太简单，长期不更换，测试环境和生产环境共用一套口令。

默认密码未必是厂商预设的固定值。更多时候，它指的是用户随手设定、之后长期不动的弱口令，或者和其他系统重复使用的旧密码。这类密码通常有几个特点：

攻击者常用的办法，是批量扫描公网IP的SSH或远程桌面端口，再用常见弱口令字典逐个尝试。这种方式并不针对某一个具体目标。只要服务器暴露在公网上，口令又足够简单，就有可能被撞上。

最稳妥的做法，是一开始就不用密码登录。阿里云支持Linux实例通过SSH密钥对登录。密钥由私钥和公钥组成，私钥只留在本地保管，即使公钥暴露，也推导不出登录凭证。对需要长期运行的服务器来说，这通常是更合适的选择。

如果确实要用密码，可以按下面几条来做：

修改实例登录密码可以在ECS实例的管理页面完成，改完一般需要重启实例才会生效。这一步很容易漏掉。不少服务器其实“改过密码”，但实际登录时仍在用旧口令。改完后最好实际登录一次，确认新密码可用。

服务器上线之后，安全工作并没有结束。下面几个习惯能明显降低被入侵的概率：

如果是多人协作的团队，还要注意账号权限。所有人共用一个管理员账号，出了问题很难追溯。子账号和RAM权限应按最小权限原则分配，人员离职时，相关权限和凭证要当天回收。

发现服务器异常，比如出现不认识的进程、异常外联，或者计算资源长时间被占满，先别急着删除或重装。更稳妥的顺序是：先通过安全组切断外部访问，保留现场日志，再逐步排查可疑进程和计划任务。如果服务器上有敏感数据，还需要评估可能泄露的范围，并视情况通知相关人员。

处理告一段落后，要把相关的密码和密钥全部更换，包括服务器登录凭证、数据库密码和应用里使用的访问令牌。只改服务器密码，忽略其他凭证，很容易留下再次被入侵的口子。

阿里云服务器默认密码的问题看起来简单，却是不少安全事件的起点。它不需要高深的技术，只需要开通实例时多花几分钟设置强口令或密钥，上线后养成定期检查、及时清理的习惯。基础工作做扎实，大多数低成本的入侵尝试就无从下手。对个人开发者和中小团队来说，这往往是投入最小、回报最实在的一项安全工作。