2026年6月17日，北京。 距离上一次大规模的服务器挖矿病毒爆发已经过去快一年，但安全圈的朋友们都清楚，那玩意儿从未真正消失。就在上周，我一个做跨境电商的朋友，他的腾讯云服务器被挖矿了，CPU跑满了三天，账单直接多出来两千块。这让我觉得，是时候把Web服务器目录安全、服务器主机搭配，以及廉价云服务器那些坑，掰开揉碎聊一聊了。
Web服务器目录：你最大的漏洞可能就挂在首页上
先聊一个看似基础，但连不少老手都翻车的问题：Web服务器目录。我说的是那些默认暴露在外的目录结构，比如 /uploads/、/backup/、/admin/。很多人买完服务器，装好WordPress或者一套CMS，就忘了关掉目录浏览权限。
2025年底，某安全实验室的报告指出，全球仍有超过30%的Web服务器开启了目录遍历。这意味着，任何人都可以直接在浏览器里输入你的域名/uploads/，然后像逛淘宝一样浏览你所有的备份文件、SQL导出包，甚至残留的配置文件。这不是危言耸听，去年日本一家中型电商被黑，起因就是攻击者通过/backup/目录找到了完整的数据库连接信息。
怎么防？ 三个字：禁、移、改。禁用目录列表（Apache的Options -Indexes，Nginx的autoindex off）；把敏感目录移出Web根目录（比如备份目录放到/home/backup/而非/var/www/html/backup/）；修改默认管理后台路径。如果你用的是腾讯云或阿里云，它们的Web应用防火墙（WAF）里通常有虚拟补丁，一键开启也能临时挡住初级扫描。但别依赖这个，根上的权限控制才是硬道理。
服务器主机搭配：别让配置成为单点故障
过去两年我一直强调，服务器主机搭配不能只看CPU核数和内存。你买一台8核32G的轻量应用服务器，觉得数据库和Web服务放一起够用，结果一遇到流量波峰，MySQL和Nginx抢资源，整个服务直接雪崩。2026年的常态流量比三年前翻了至少一倍，单机部署的时代真的过去了。
我个人推荐的组合（小型项目赚钱型）：Nginx + PHP-FPM + Redis + MariaDB，其中Redis单独跑在一台最低配的实例上，比如腾讯云的2核4G轻量。这比把所有东西塞进一台8核机器要稳定得多。成本其实没高多少，但故障恢复能力完全不同。
如果你在初期预算极其有限，阿里云最便宜服务器（比如突发性能t6实例，1核1G）可以用来跑Nginx和PHP，但绝对不要在上面跑数据库。数据库一定要放在IOPS有保障的云盘上。别信“全在一台”的神话，那是博客时代的老黄历了。
腾讯云服务器被挖矿了：从发现到止血的90分钟
回到开头那个故事。我朋友发现腾讯云服务器被挖矿了，是因为收到了腾讯云的“安全事件告警”短信（这点腾讯云做得还不错，阿里云也有类似服务）。他的CPU突然彪到100%，而且持续降不下来。第一反应不要关机，而是执行以下操作：
- 立即隔离： 在云控制台创建快照，然后直接停机。别想着先杀进程，挖矿脚本通常有守护进程，你杀一个它会立刻启动另一个
- 查看进程链： 通过快照恢复一个干净的镜像，然后挂载被感染的数据盘，分析
/tmp、/var/tmp和可疑的crontab任务 - 找入口： 90%的挖矿感染来自弱口令、Redis未授权访问或者Web应用漏洞（比如ThinkPHP RCE）。我朋友那台是因为Redis没有设置密码，且以root权限运行，直接被docker化挖矿
最后花了半天时间清理，但中间产生的流量和高额账单是退不回来的。教训就是：所有对外服务，包括Redis、MongoDB，必须绑定内网IP，Web应用和数据库之间用内网通信。腾讯云和阿里云的内网都是免费的，不用白不用。
邮件服务器搭建web：一个被低估的成本黑洞
很多人想邮件服务器搭建web接口，比如给自己的网站加一个自动发邮件功能。这件事远比想象中复杂。你用阿里云或腾讯云默认的25端口发邮件？别想了，云厂商默认封禁25端口。你需要提交工单解封，而且审核极其严格。
更好的做法是使用邮件中转服务（比如SendGrid、Mailgun、腾讯云的邮件推送）。但如果你非要自己搭建，请记住：不要用Postfix的标准MTA模式，而是用 Webmail + SMTP Relay 模式。即在服务器上搭建一个Roundcube或RainLoop，后端连接一个可靠的中继服务（比如AWS SES或者阿里云DM）。这样你的服务器只负责展示，真正的发送流量走中继，IP信誉和反垃圾策略都由专业平台处理。2026年，自建邮件服务器的PPC（每千封成本）已经高于第三方服务，除非你有隐私合规的特殊需求，否则真没必要自己折腾postfix+dovecot那一套。
阿里云最便宜服务器：用得好是宝，用不好是坑
说到阿里云最便宜服务器，目前（2026年中）的入门款是突发性能t6实例，1核1G，1年大概是99元左右（轻量应用服务器更便宜）。这类服务器有个致命特点：CPU有基线限制。你只能持续占用20% CPU一段时间，超过就会被强制降频。跑一个静态博客或者一个低并发的API接口还好，但凡跑个爬虫、图片处理，立刻卡成幻灯片。
我的建议：如果只是测试、模拟考试或者做个落地页，随便买。如果是生产环境，哪怕只是个小电商，也请选择 通用型g7或g8实例，哪怕只买2核4G。便宜服务器的IOPS通常也低，数据库读写稍微频繁一点，磁盘延迟就会飙升。记住，云计算的成本里，IOPS比CPU更贵。
另外，阿里云和腾讯云的按量付费实例都支持“节省计划”，购买1年或3年包可以省30%-50%。别贪便宜买30天短期的突发实例，续费时价格翻倍的情况太常见了。
最后说一句： 服务器运维没有银弹。从目录权限到挖矿防御，从服务器搭配到邮件搭建，每一个环节都需要你亲自动手反复测试。2026年了，别再把服务器的安全性和稳定性寄托在“运气”上。如果你还在为腾讯云服务器被挖矿了而焦头烂额，或者纠结于阿里云最便宜服务器能不能跑起来，不妨先花一个下午，把上面提到的几个点逐一加固。这笔时间投资，回报率比任何优化技巧都高。