宝塔面板如何避免被黑？

[thinkm]

最近看到不少说自己用宝塔面板被黑的用户，有大佬说当装上宝塔面板那一瞬间，你就是肉鸡了，此话丁真吗？ 我自己的话也是在用宝塔面板，机器用的腾讯云，控制台防火墙只开启了 80,443,和宝塔面板端口这三个端口，其中宝塔面板的端口限制访问来源，来源就是我自己电脑的 IP ，这样的话也避免不了被黑吗？

[wu529778790]

不用宝塔不行么，现在有个开源的 1panel 啊

[totoro52]

关掉面板入口或者开启 base 认证， 关闭一些没必要的端口， 基本不会被黑，主要还是宝塔喜欢做一些骚操作导致被黑，参考上次的 phpmyadmin

[thinkm]

@wu529778790 1panel 体验一言难尽，根本不是 linux 面板，而是阉割版 docker 面板

[tengxunkuku]

如果别人曾经用你的 ip 实施了违法行为，而你刚好实名了宝塔，那么喝茶跑不掉

[Huelse]

无论是数据库还是 ssh 都用密钥，面板用随机强密码，基本无忧

[cdlnls]

没有明确的证据说是 bt 有后门，但是不排除可能有某些没有被公开的漏洞。
我是这么认为的，主要宝塔的用户大多数是对 linux 系统不太熟悉的和刚刚接触服务器的用户，这里面安全意识差的人占比不在少数。弱密码甚至无密码暴露端口的，各种没有审计的第三方脚本，这种被黑真的是时间问题。

[mineralsalt]

@tengxunkuku #24 你把警察当傻子啊, ipv4 当身份证用么

[kingjpa]

大可不必，
数百万安装量 ，国内占有率第一，而且比其他所有同行之和都要多。
被黑要找到原因，就事论事。bt 本质就是 ptyhon 脚本编写的运维自动化工具，它只能帮你快捷安装环境，但代码安全防火墙这些还的靠自己，别自己上传功能没做好被提权那用什么工具都扯淡。

[thinkm]

@kingjpa 客观

[tivizi]

可以在服务器上装代理工具，把服务端口通过 HTTPS(443) 暴露出来，其他端口不接受任何流量

https://github.com/jpillora/chisel
https://github.com/rkonfj/toh

[follow]

需要时打开端口，启动 bt ；不用时关闭端口，

[feaul]

之前爆出了好多的漏洞，可以去全球主机论坛看看，之前报的漏洞好多是从这上面爆出来，奈何没有技术，只能依赖于宝塔了，有技术早就不用宝塔了

[Bingchunmoli]

被黑也很多，有很多低级漏洞，不建议使用,也可以用完关闭

[dayeye2006199]

只规定本地访问面板。
SSH 只允许密钥访问。
管理的时候开 SSH 转发端口，访问本地面包

[edk24]

说到底不是宝塔安不安全, 而是你的安全措施有没有到位; 即便是不用宝塔也需要做的事情 (如果追求安全的话)

1. 关闭 ssh 密码登录, 使用秘钥登录
2. 关闭外网访问, 仅留 80 443
3. 配置一台 vpn 云服务器, 用来 ssh/访问宝塔

要是再加个堡垒机 就更安全了

[lhbc]

不太明白，随便装个 docker + portainer ，不比这好用多了？

[rekulas]

很简单，我是直接把宝塔端口加上 token 验证，比如 bt-token: 3a9266809e20ba9221307fc9e0549601
没有 token 一律返回 502 ，再黑的黑客也没办法，只有从其他软件着手破解，但这跟宝塔就无关了，端口安全做好基本稳了

[ClarkAbe]

你这个问题...不装宝塔面板就行 (

[xyholic]

刚装上最新的可能暂时没问题，漏洞都被修复了，但是保不齐未来再爆 0day ，不安全是持续性的
再差点可能现在也有师傅手里捂着 0day 呢

[thinkm]

@xyholic 是不是我不开宝塔的端口就没问题？