必须立即卸载phpMyAdmin、升级宝塔至7.4.3+、修改面板端口并同步放行规则、启用WAF拦截模式、强制HTTPS与双因素认证、启动底层防火墙且仅开放必要端口。
PHP 7.4 环境已部署在宝塔面板上，但未开启任何防护措施，此时网站正暴露在SQL注入、XSS跨站、恶意文件上传等高频攻击之下，访问日志中已出现/wp-login.php?redirect_to=、/phpmyadmin/index.php等可疑路径请求。
立即关闭高危入口与默认服务
先切断攻击者最常利用的现成通道，避免边配置边被入侵。
进「软件商店」→ 找到 phpMyAdmin → 点击「卸载」（不是「停止」）；卸载后手动执行 rm -rf /www/server/phpmyadmin 确保目录清空。
进「设置」→「面板设置」→ 关闭「允许发送错误日志给官方」和「启用性能监控」——这两项曾被用于隐蔽C2通信，关闭后可阻断潜在外连链路。
立即学习“PHP免费学习笔记（深入）”；
检查当前PHP版本是否为7.4.2：终端执行 bt 10，若显示 Panel version: 7.4.2，必须升级至7.4.3或更高版本，否则存在CVE-2026-2187鉴权绕过漏洞，攻击者可直连数据库获取root权限。
修改面板端口并同步放行规则
这一步不做，所有后续防护都形同虚设——扫描器仍在持续爆破8888端口。
第一步：登录宝塔 → 左侧「设置」→「面板设置」→「基本设置」→ 将面板端口改为1024–65535之间的冷门五位数，例如【37291】。
第二步：点击「保存」，面板自动重启；重启完成后立刻失效旧端口访问能力。
第三步：左侧「安全」→「防火墙」→「放行端口」→ 添加新端口37291（协议选TCP）。
第四步：登录云服务商控制台（阿里云/腾讯云等），在对应服务器的安全组中添加入站规则：端口37291，源IP可填0.0.0.0/0（临时）或你办公IP段（推荐）。漏掉任一环节，你会被锁在面板外。
启用WAF拦截模式
宝塔自带WAF不依赖插件，靠Nginx Lua模块实现，轻量且生效快，但默认处于关闭状态。
方法一：软件管理 → Nginx → 设置 → 配置修改 → 找到第13行左右的 #include luawaf.conf; → 删除开头的#号 → 保存。
方法二：直接编辑文件：sed -i 's/^# *include luawaf.conf;/include luawaf.conf;/' /www/server/nginx/conf/nginx.conf。
保存后必须点击「重载配置」或「重启Nginx」，否则规则不加载；拦截日志实时写入 /www/wwwlogs/waf/，可用 tail -f /www/wwwlogs/waf/waf_$(date +%Y-%m-%d).log 观察攻击触发情况。
进「安全」→「WAF」→「基础设置」→ 将「防护模式」从「仅记录」改为【拦截】；若某后台路径（如/admin/ueditor/）持续误报，再进「规则白名单」单独添加，切勿全局关闭。
强制HTTPS与双因素认证
HTTP明文传输面板登录凭据，等于把密码贴在快递单上寄出。
绑定域名（如panel.yourdomain.com）→ 面板设置 → SSL → 一键申请Let's Encrypt证书 → 启用后勾选「强制HTTPS」。
面板设置 → 安全设置 → 动态口令认证 → 开启 → 扫码绑定Google Authenticator或宝塔官方APP；务必下载并离线保存恢复密钥，丢失即永久无法登录。
测试：用手机浏览器访问旧HTTP链接，应自动跳转至HTTPS；输入账号密码后，必须再输入6位动态码才能进入。
启动底层防火墙并精简端口
宝塔「IP黑名单」只是应用层过滤，挡不住SYN Flood和SSH暴力破解；真正有效的封IP必须走iptables或firewalld内核规则。
左侧「安全」→ 确认右上角开关为「启用」；若提示“未检测到防火墙服务”，先执行 systemctl status firewalld 或 systemctl status iptables 查看状态，未运行则 systemctl start firewalld（CentOS 7+）或 systemctl start iptables（Debian 9及更早）。
「放行端口」列表中，只保留：37291（新面板端口）、80、443；删除3306、6379、27017等数据库与缓存端口；若必须远程访问MySQL，添加具体IP段（如192.168.1.100:3306），而非0.0.0.0:3306。
发现异常IP频繁访问/wp-login.php，直接在「阻止IP」输入框填入该IP → 点击「阻止」；解封时需在「阻止IP」列表里点「删除」，不能只删banip.list。
