核心要点（TL;DR）

• 基线核查是安全评测的第一步，重点检查账号、权限、服务、日志等配置。
• 渗透测试模拟攻击者视角，验证漏洞可利用性，需在授权环境下进行。
• 评分维度应涵盖资产重要性、漏洞严重性、利用难度和修复成本。
• 定期评测与持续加固才能有效降低服务器被攻破的风险。

痛点引入：为什么你的服务器总在“带病运行”？

很多运维和站长在服务器上线后，只关注业务是否可用，却忽略了安全配置是否合规。弱口令、开放的高危端口、缺失的补丁、宽松的文件权限……这些隐患平时不显山露水，一旦被攻击者利用，轻则数据泄露，重则业务瘫痪。服务器安全评测就是一套系统化的“体检”方法，通过基线核查发现配置缺陷，通过渗透测试验证漏洞可利用性，再用评分维度量化风险，最终形成可执行的加固方案。本文将从实战角度拆解每一步的具体操作，帮你快速落地。

基线核查：对照清单逐项检查

基线核查是安全评测的基础，目标是确保服务器配置符合安全规范。建议使用自动化工具（如OpenSCAP、Lynis）结合手动检查，以下为关键检查项及操作命令。

账号与权限

• 检查是否存在多余账号：cat /etc/passwd，关注UID为0的非root账号。
• 检查空口令账号：awk -F: '( == "") {print }' /etc/shadow。
• 检查sudo权限：cat /etc/sudoers，避免普通用户拥有ALL权限。
• 设置密码策略：修改/etc/login.defs，如PASS_MAX_DAYS 90，并启用pam_cracklib。

服务与端口

• 列出监听端口：ss -tulnp，关闭非必要服务（如telnet、ftp）。
• 检查开机自启服务：systemctl list-unit-files --type=service | grep enabled，禁用不必要服务。
• 防火墙配置：使用iptables -L -n或firewall-cmd --list-all，确保仅开放业务端口。

文件与日志

• 检查敏感文件权限：ls -l /etc/shadow /etc/passwd，应为600和644。
• 查找全局可写文件：find / -type f -perm -o+w -exec ls -l {} \;，修复权限。
• 日志服务状态：systemctl status rsyslog，确保日志记录并定期归档。

补丁与更新

• 检查系统更新：yum check-update或apt list --upgradable，及时安装安全补丁。
• 使用漏洞扫描工具：nmap --script vuln 快速发现已知漏洞。

渗透测试：模拟攻击验证风险

渗透测试在授权前提下，模拟黑客攻击手法，验证漏洞是否可被利用。建议按以下步骤执行。

信息收集

• 使用Nmap扫描开放端口和服务版本：nmap -sV -sC -O 。
• 目录扫描：dirb http://或gobuster dir -u http:// -w /usr/share/wordlists/dirb/common.txt。
• 子域名枚举：subfinder -d example.com。

漏洞探测

• Web漏洞扫描：使用OWASP ZAP或Burp Suite进行主动扫描。
• 弱口令爆破：hydra -l root -P pass.txt ssh://（仅限授权测试）。
• 使用Nuclei快速检测常见漏洞：nuclei -u http:// -t cves/。

漏洞利用与提权

• 使用Metasploit验证漏洞：msfconsole，搜索并利用对应模块。
• 提权检查：上传LinEnum.sh运行，或使用sudo -l检查sudo权限。

报告与复现

• 记录漏洞详情、利用步骤、影响范围，并提供修复建议。
• 使用截图和命令输出作为证据，确保可复现。

评分维度拆解：量化风险优先级

安全评测结果需要量化评分，以便排定修复顺序。建议从以下维度设计评分卡，每个维度按1-5分打分，加权计算综合风险值。

例如，一个CVSS 9.8的远程代码执行漏洞，资产重要性高，利用难度低，则综合风险值高，应优先修复。评分卡可根据业务特点调整权重，确保风险排序合理。

加固与持续改进：形成安全闭环

根据评测结果，制定加固计划：

• 立即修复高危漏洞（如弱口令、未授权访问）。
• 调整基线配置，关闭不必要的端口和服务。
• 部署WAF（如AegisX）拦截常见Web攻击，弥补配置遗漏。
• 建立定期评测机制，每季度一次基线核查，每半年一次渗透测试。
• 使用自动化工具持续监控配置漂移，如OSSEC、Wazuh。

安全评测不是一次性的任务，而是持续的过程。将评测纳入日常运维流程，才能有效降低风险。

行动建议

立即开始你的第一次安全评测：从基线核查清单入手，逐项检查并修复；在测试环境尝试渗透测试工具，熟悉流程；设计简单的评分卡，对发现的问题排序。记住，安全是“做对的事情”而不是“做完的事情”，持续迭代才能筑牢防线。

常见问题（FAQ）

服务器安全评测一般多久做一次？

建议至少每季度进行一次全面安全评测，并在系统重大变更、新业务上线或发生安全事件后立即执行。对于核心业务服务器，可缩短至每月一次基线核查，每半年一次渗透测试。定期评测能及时发现配置漂移和新出现的漏洞，避免长期积累风险。

基线核查和渗透测试有什么区别？

基线核查是检查服务器配置是否符合安全规范，如账号策略、服务端口、文件权限等，属于合规性检查；渗透测试则是模拟黑客攻击，验证漏洞是否可被利用，属于实战性验证。两者互补，基线核查覆盖广，渗透测试深度强，结合使用才能全面评估安全状况。

没有专业安全团队，如何开展渗透测试？

可先使用自动化工具如Nmap、OpenVAS、Nuclei进行漏洞扫描，再结合手动验证常见漏洞（如弱口令、未授权访问）。建议在测试环境演练，或购买专业渗透测试服务。重点优先测试暴露在公网的服务，并确保测试前获得书面授权，避免法律风险。

安全评测的评分维度有哪些？

常见维度包括：资产重要性（业务影响）、漏洞严重性（CVSS评分）、利用难度（攻击复杂度）、修复成本（时间与资源）。可根据业务特点分配权重，计算综合风险值。例如核心业务服务器漏洞权重更高，利用难度低的漏洞优先修复。

评测发现问题后如何高效修复？

按风险优先级排序：先修复可利用性高、影响大的漏洞（如远程代码执行、弱口令）。制定修复计划，明确责任人和时间点。修复后需复测验证，并更新基线配置。建议建立漏洞管理流程，将安全评测纳入日常运维闭环。