宝塔漏洞怎么搞？别慌，我教你！

宝塔面板这个东西啊， 现在用的人可多了搞服务器的人都懂，点点鼠标就能搞定很多事，不用像以前那样敲命令，麻烦死了。但是呢，这个东西用的人多了平安问题就来了老是听说什么漏洞漏洞的，搞得人心惶惶的。要是服务器被人家黑了数据没了那可就惨了老板不得骂死你？所以啊，宝塔漏洞这事儿，咱们得好好说说怎么找出来怎么给它弄好，别让坏人有机可乘，人间清醒。。

第一步：先看看宝塔有没有“病”， 也就是排查漏洞

1、用面板自带的“找茬”工具，最省事

动手。 登录宝塔面板后台，这个应该都会吧？不会的话我教你，你买服务器的时候装的宝塔，找到那个网址，输入账号密码就进去了。进去之后你看左边一排菜单，有个“平安”对吧？点进去，里面有个“漏洞检测”，或者叫“平安扫描”，反正就是找问题的那个按钮。点一下 它就开始自己忙活了过几分钟，它会告诉你哪里有问题，比如系统版本老了或者某个软件有漏洞，还会说这个漏洞严不严重，是高危还是低危，让你心里有个数。这个方法最简单，不用自己瞎琢磨，面板自己会告诉你。我刚开始用的时候，就是用这个，扫出来一堆问题，当时就蒙了还好有这个工具。

2、 去宝塔官网看看，人家官方会“通知”你

除了面板自己检查，你还得自己去宝塔官网看看，他们官方论坛啊，或者那个公告栏，还有他们的公众号，有时候会发消息说哎呀，我们哪个版本出问题了赶紧更新。你就去看看， 他们说哪个版本有漏洞，你再看看你自己的面板是不是那个版本，要是的话，那就赶紧准备修复，别等人家黑客来了才发现。我记得有一次 官方说某个版本的PHP有个漏洞，能让人家直接施行命令，吓死我了赶紧看看自己的，幸好不是那个版本，不然就完了。所以啊，官方消息不能不看，就跟看天气预报一样，得知道有没有“暴风雨”，稳了！。

第二步：找到“病”了 就得治，也就是修复漏洞

1、先给宝塔面板本身“打针吃药”，更新版本

发现漏洞了先说说得更新面板本身。很多时候漏洞就是主要原因是面板太旧了人家都出新版本了你还用老的，那不就出问题了？登录后台， 看看有没有小红旗啊，或者消息提示说有新版本，点一下“一键更新”，它会自己下载文件，替换旧的。这时候你别着急关页面让它自己弄完，弄完了之后最好重启一下面板，不然可能不生效，白忙活一场。我以前更新的时候，手快关了页面后来啊更新了一半，面板都打不开了又得重装，麻烦死了。所以啊，更新的时候耐心点，别乱动。

2、 再给装的软件“打补丁”，比如Nginx、MySQL这些

面板更新了还不够，你装的那些软件，比如Nginx、MySQL、PHP这些，也可能有漏洞。在软件商店里找到你装的那些软件，看看有没有更新提示，有就点升级。有些时候可能不能直接升级， 需要你自己下个补丁包，这时候你得看官方怎么说的，他们会给个教程，用面板的文件管理器，或者用SSH把文件放上去，替换掉旧的。我搞MySQL的时候， 就遇到过这种情况，官方给了个补丁文件，我按照教程，用文件管理器找到那个目录，把旧文件删了把新文件传上去，重启MySQL服务，就好了。别怕麻烦，不然漏洞还在那儿，就是个定时炸弹。

第三步：治好了病， 还得防着下次再得，也就是加固平安

1、把面板的“门”锁好，不让随便进

光修复还不行，还得防着别人再来。面板后台不能谁都能进啊， 你得设置一下IP白名单，就是只允许你自己的IP地址才能登录面板，这样别人就算知道你的账号密码，也进不来。怎么设置呢？还是在平安设置里找“IP白名单”，把你自己的IP填进去，多个IP就用逗号隔开。还有， 别用8888这个默认端口，太常见了黑客扫描一下就找到了自己随便改个别的端口，比如8889或者9999，这样人家就不好找了。我改了端口之后就少了很多登录失败的记录，肯定是有人在扫8888端口，幸好我改了。

2、 把不用的“东西”都关掉，少一个漏洞点

面板里有些功能你根本用不到，比如FTP服务，你要是没用，就赶紧关掉，开着就是个漏洞。还有那些不常用的软件管理模块，也关了少一个功能就少一个风险。再说一个， 一定要开启操作日志，它会记录谁什么时候登录了做了什么操作，万一出事了你可以看看日志，知道是哪个环节出了问题，方便找原因。我开了日志之后有次看到有个奇怪的IP登录，赶紧改密码，不然可能就被盗了。所以啊，不用的东西别留着，占地方还凶险，一句话。。

第四步：修复完了 得试试到底行不行，也就是验证效果

1、再用工具扫一遍，看看还有没有“漏网之鱼”

修复完了别以为就万事大吉了你得再检查一遍。再用面板那个漏洞检测工具扫一遍，看看还有没有问题。如果有条件的话， 用个第三方工具，比如叫Nessus的那个，也扫一遍，两个工具都扫了要是都没问题了那才算真的修复好了。我上次修复完， 用面板扫了一遍没问题，后来啊用Nessus扫，发现还有一个低危漏洞，赶紧又修复了不然心里不踏实。所以啊，多检查几遍，总没错，简直了。。

2、 看看你的网站、数据库还能不能用，别修复了反而搞坏了

可以。 再说说也是最关键的一步，你得看看你的网站、数据库这些东西还能不能用正常。修复的时候可能升级了软件，改了配置，万一搞错了网站打不开，数据库连不上，那可就麻烦了。一个个试，打开网站看看，上传个文件试试，连接数据库看看，要是都正常，那就OK了。要是有问题，赶紧恢复到修复之前的样子，然后再慢慢找哪里出问题了。我以前升级PHP之后有个网站打不开了后来发现是 没装对，又重新装了一遍才好。所以啊，验证这一步不能少，不然白修复了。

一下 其实也没那么难

宝塔漏洞这事儿，不用怕，只要你会检查、会修复、会加固，就能搞定。记住平安这东西，平时多注意，别等出事了才后悔。反正就是那么回事，先找问题，再解决问题，然后防范问题，再说说验证后来啊。 这玩意儿... 搞不懂的就问别人，别瞎搞，不然服务器崩了哭都来不及。好了就说这么多，希望对你有用，反正我是这么搞的，现在也没出过问题。记住平安第一，别嫌麻烦，麻烦一次省心一辈子！