聊服务器、内网安全，先讲一个很实在的情况：绝大多数入侵事件，并不是靠复杂漏洞利用完成，而是抓住运维配置疏漏、长期不更新补丁这类问题。专业攻击者不会死磕加固完善的系统，他们专门找那些没关好的入口。
攻击者拿到服务器权限，常见路径就几类。弱口令是最简单的突破口，SSH开放22端口，root密码直接设成123456，扫描工具跑一轮，就能抓到大量目标。Redis未授权访问也是老问题，6379端口暴露公网，没有设置访问密码，攻击者直接写入SSH公钥，服务器就被接管。数据库端口直接对外，MySQL的3306、MongoDB的27017，无密码访问，数据随便读取删除。这些不属于软件漏洞，只是配置失误，但最终效果等同于服务器被攻破。
拿下第一台主机之后，攻击者不会就此停下。他们会探查这台机器能不能连通内网其他设备。内网横向移动手段不少，抓取密码哈希是最普遍的方式。Windows域环境中，利用Mimikatz从内存提取域管理员密码，拿着凭据登录其余服务器，一路横向渗透。Linux环境则会查找SSH私钥、历史命令、脚本里写死的数据库账号密码；很多运维图省事直接把密码写在脚本文件，攻击者找到之后就能拿到下一台服务器的访问权限。内网内部默认互相信任，边界防火墙只拦截外部流量，内网之间缺少防护，一台主机失守，很容易造成整片内网沦陷。
内网还有几类高频风险点。不少企业内网设备长期不安装补丁，像永恒之蓝这类漏洞，补丁发布多年，内网扫描依旧能发现大量未修复主机。共享目录权限配置混乱，Everyone完全控制权限，任何人都可以写入文件，放置带宏Office文档等待用户打开触发恶意代码。VPN、OA系统暴露公网，密码策略宽松，撞库成功之后直接进入内网。打印机、摄像头等IoT设备固件常年不更新，默认密码不修改，也会成为进入内网的跳板。
从防御层面来说，做好几件基础配置，就能阻挡大部分攻击。SSH关闭密码登录，改用密钥认证，密钥文件额外设置密码保护。公网环境只开放业务必需端口，Redis、MySQL、MongoDB默认监听127.0.0.1，不要绑定0.0.0.0。内网部署微隔离，服务器之间非必要端口全部阻断，就算一台主机被攻陷，攻击流量也无法向外扩散。域管理员账号不要随意在内网主机登录，tier0核心资产单独管控，攻击者拿不到域管哈希，横向移动很难推进。补丁管理不能搁置，用WSUS或者自动化脚本批量推送，不要等到出事才想起修复漏洞。
日志监控经常被忽略。很多攻击之所以能持续，根源就是没人查看日志。SSH暴力破解持续数日，日志中全程留有记录，却没有告警。服务器新增定时任务、陌生账号，也无法及时察觉。部署文件完整性监控，核心目录文件变更触发告警；搭建SIEM，或者简单集中收集日志，出现安全事件至少保留审计依据。攻击者最怕被快速发现，告警响应及时，就可以快速切断攻击链路，控制损失规模。
总的来说，服务器和内网安全，不是采购安全设备就能一次性解决。防火墙、WAF、EDR都有防护能力，但配置错误、无人巡检、规则长期不更新，等于形同虚设。攻击者寻找的就是被忽略的薄弱环节，安全建设不需要所有位置做到极致，但绝对不能把访问凭据直接暴露在外。