一次安全事故

在去年12月，我突发奇想写了一个反向代码所有网站的Nginx配置 ，但是没有做IP访问控制。然后遇到的悲催事情：

• 然后惨遭爬虫访问，VPS占用拉满
• VPS提供商收到了网络安全公司的投诉abuse，发工单提醒，临时关闭Servers服务。
• 数据库弱密码暴力破解，遭到劫持邮件勒索。
• 网站被Google Chrome标记钓鱼网站，网站从谷歌的搜索结果中移除。

12月25号，我收到了VPS提供商给我发的工单。说有收到关于网站投诉的abuse，临时中断我的VPS服务。我先解释了是我写了一个镜像站的Nginx配置，不是钓鱼网站。过了两天继续和我说他们收到了更多的abuse complaint，需要解决这个问题。我不得不关闭了这个镜像站。

这还只是刚开始的问题，之后到1月份我发现我的网站访问显示数据库连接错误。然后我发现MySQL的库内容被清空

到1月份，VPS不知道为啥负载和CPU占用率都是拉满的，查看访问日志发现被OpenAI的爬虫疯狂爬取，同一秒内发起了十几个并发请求。

最糟的事情是MySQL数据库的内容被清空了，网站访问显示数据库连接错误。数据库弱密码123456被破解了，勒索邮件告诉我支付0.0094比特币恢复数据，当时汇率是869.15美元。

同时我的朋友告诉我，我的域名被Google Chrome标记为诈骗网站了，正所谓祸不单行。

之后要过年了，年初回来工作又很忙。网站下线了小半年。到5月份才回归。我改了MySQL的密码，恢复了备份。然后向Google提交了网站申诉。事情的经过就是这样。犯了非常低级的错误，公网开放访问以及数据库弱密码。希望看到这边文章的人以我为鉴，不要犯这样错误。