# 宝塔企业版「系统加固」插件怎么配置？SSH 防爆破与关键系统目录保护

> 在宝塔企业版安装并开启「系统加固」后，先启用「SSH 防爆破」自动封锁连续输错密码的扫描 IP，再开启关键系统目录（`/etc`、`/bin`、`/usr/bin`、计划任务与启动项）保护，即可有效防止服务器被暴力入侵或植入挖矿木马。

- 分类: 功能插件
- 发布: 2026-10-16
- 更新: 2026-10-24
- 原文: https://pay.baota.in/article/bt-enterprise-system-hardening-plugin-guide

## 什么是「宝塔系统加固」？它和网站防篡改有什么区别？

在宝塔企业版安全体系中，**「网站防篡改」保护的是 `/www/wwwroot` 下的网站代码**，而 **「宝塔系统加固」保护的是 Linux 操作系统本身的核心命令、系统配置、计划任务与 SSH 登录入口**。许多服务器中了挖矿木马后，黑客会篡改 `/etc/crontab`、替换系统的 `ps`/`top` 命令甚至添加隐藏的 `root` 账号，开启「系统加固」正是为了从源头锁死这些系统级目录。

## 系统加固必开的四大核心防护项

1. **SSH 服务加固（防暴力破解）**：
   - 实时监控 `/var/log/secure`（或 `auth.log`），当同一公网 IP 在设定时间内（如 60 秒）连续输错 SSH 密码达到阈值（如 5 次），立即自动将该 IP 封锁数小时，彻底杜绝全网肉鸡字典爆破。
2. **关键系统目录与命令保护**：
   - 自动对 `/bin`、`/sbin`、`/usr/bin`、`/etc/init.d` 等系统二进制目录加锁，防止木马替换系统命令或注入开机自启服务。
3. **计划任务与用户配置保护**：
   - 锁定 `/etc/passwd`、`/etc/shadow`、`/etc/sudoers` 及系统级 Cron 目录，阻止攻击者静默创建后门高权账号。
4. **异常进程与高危行为监控**：
   - 监控异常大流量外发与可疑临时目录执行行为。

## 重点注意：安装新软件或新增系统用户时怎么操作？

由于「系统加固」底层使用文件不可变属性锁定了 `/etc/passwd` 和 `/usr/bin` 等目录，当你在宝塔「软件商店」安装新的 PHP 版本、Nginx、Docker，或者在终端使用 `yum` / `apt` / `useradd` 时，可能会遇到 `Permission denied` 或 `Operation not permitted` 报错。

- **正确做法**：安装新环境或系统组件前，先打开「宝塔系统加固」插件将顶部总开关**临时关闭**，待软件安装完毕后再**重新开启**。

在宝塔 Linux 专业版与企业版（v13.1.0）中，建议将「系统加固」与[网站防篡改插件](/article/bt-tamper-proof-security-configuration)配合开启，实现系统层与站点层双重防护。

## 依据与适用范围

- 企业版与专业版核心插件矩阵: 开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
  来源: https://docs.bt.cn/
- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html
- bt 命令行管理工具箱: Linux 面板与 aaPanel 在服务器 SSH 终端输入 `bt` 命令即可调出面板管理菜单（支持查看面板完整地址、重置面板管理员密码、修改端口、清除登录限制等，具体编号以当前版本显示为准）。
  来源: https://baota.in/tutorial.html
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/

## 常见问题

### 宝塔安装 PHP 或 MySQL 失败提示无法创建 www 用户，是系统加固的原因吗？

是的。因为系统加固锁定了 `/etc/passwd` 和 `/etc/group`，导致安装脚本无法写入新系统用户。只需在系统加固插件中临时关闭防护，安装完 PHP/MySQL 后再重新打开即可。

### 自己的办公 IP 不小心输错几次 SSH 密码被系统加固封了怎么办？

可以通过浏览器登录宝塔面板，在「系统加固 → SSH 加固 / 封锁列表」中一键解封该 IP，并将自己的固定办公 IP 加入白名单。