近期有攻击者对公网暴露的微软 SQL 服务器发起暴力爆破攻击，成功猜解超 2700 组账号密码之后，在受害服务器里面植入远控木马和挖矿程序，这套攻击链路门槛不高、传播速度快，对公网直接暴露 SQL 服务的业务风险很大。很多企业为了调试方便，直接把微软 SQL 服务器放到公网，没做访问白名单、弱口令整改，数据库账号使用简单密码，攻击者利用自动化脚本批量扫描公网 IP、尝试常见密码组合，拿到账号权限后，先上传远控程序维持长期控制，再部署挖矿程序占用服务器算力挖虚拟币，同时还会留下后门方便后续二次入侵，一旦中招，服务器算力被占满卡顿、业务中断，数据也存在被窃取、篡改的风险。
攻击手段清单
- 公网资产扫描：自动化脚本批量扫描全网 IP，识别开放 1433 端口、暴露在外的微软 SQL 服务器
- 密码暴力猜解：使用弱口令字典批量尝试登录，本次事件累计成功猜解超 2700 组账号密码
- 权限获取：利用拿到的 SQL 账号登录数据库，借助存储过程等方式拿到服务器系统权限
- 恶意载荷投放：上传远控程序，实现远程命令执行；部署挖矿程序占用 CPU、GPU 算力
- 持久化留后门：新增系统账号、配置计划任务，就算管理员修改数据库密码，攻击者依旧能接入
风险自查表
| 检查项目 | 安全状态判定 | 整改建议 |
|---|---|---|
| SQL 是否直接对公网开放 | 高危 | 增加防火墙，仅放行业务内网 IP，禁止 0.0.0.0 监听 |
| 数据库账号密码强度 | 弱口令高危 | 设置大小写、数字、符号组合长密码，定期轮换 |
| 1433 端口暴露情况 | 高危 | 不直接映射公网，必要时改用 VPN、堡垒机访问 |
| 是否开启不必要存储过程 | 风险 | 禁用 xp_cmdshell 等可执行系统命令的存储过程 |
| 服务器杀毒 / EDR 状态 | 风险 | 开启安全防护，监控异常 CPU 占用、陌生进程 |
应急处置步骤
- 第一步：立即隔离受害服务器，断开外网，防止恶意程序横向扩散、感染内网其他设备
- 第二步：查杀挖矿、远控进程，删除计划任务、陌生系统账号，清除后门文件
- 第三步：修改全部数据库账号、服务器系统账号密码，排查有没有新增未知账号
- 第四步：关闭公网直接访问权限，配置访问白名单，限制 1433 端口访问源
- 第五步：留存日志，溯源攻击行为，全量扫描内网其他微软 SQL 服务器，排查同类入侵
【常见问题】
问题 1：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序，最核心的诱因是什么？
回答 1：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序，核心诱因是大量微软 SQL 服务器直接暴露在公网，并且使用弱口令，攻击者依靠自动化脚本批量猜解密码，轻松拿到权限投放恶意程序。
问题 2：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序，1433 端口一定要关闭吗？
回答 2：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序主要瞄准 1433 端口，内网环境下可以正常使用 1433，但不建议直接把 1433 端口对公网映射，远程运维优先走堡垒机或者 VPN。
问题 3：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序，服务器中招之后会有哪些明显现象？
回答 3：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序后，服务器会出现 CPU 持续高负载、业务卡顿，后台出现陌生进程、新增不明账号，日志里大量陌生 IP 登录 SQL 的记录。
问题 4：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序，做好哪些措施可以提前防御？
回答 4：攻击者爆破公网微软 SQL 服务器植入远控挖矿程序，可以通过不暴露 SQL 到公网、设置强密码、禁用高危存储过程、部署主机安全软件、开启登录失败告警、定期做弱口令巡检来提前防御。
【参考资料】
[2026-11-14]（攻击者爆破公网微软 SQL 服务器，超 2700 组密码猜解植入远控挖矿程序）嘶吼安全学院
[2026-11-12]（安全预警：公网 MSSQL 暴力猜解攻击活跃，挖矿远控载荷增多）FreeBuf
[2026-11-10]（MSSQL 1433 端口暴力爆破攻击态势分析）奇安信威胁情报中心
[2026-11-05]（针对公网暴露 SQL Server 的挖矿攻击链复盘）绿盟科技
[2026-10-28]（MSSQL 弱口令入侵后挖矿 + 留后门典型案例）腾讯安全玄武实验室
【免责声明】
本文内容仅为网络安全资讯整理，不构成专业安全方案；攻击者爆破公网微软 SQL 服务器属于网络攻击行为，相关攻击手法仅用于安全自查防御，严禁用于非法入侵；服务器安全处置工作建议由专业安全人员操作，具体防护方案结合自身业务网络环境调整。