KSWEB 部署后必须改掉的四个默认账号密码 裸奔风险

四个必须改

KSWEB 有四个地方存着默认的弱密码，部署 CMS 后第一件事就是逐个改掉：

前面 CMS 部署那组和数据库管理那组都提过，这里集中汇总一下。

一、MySQL root 密码（最危险）

MySQL 默认 root 账号没有密码，只允许 localhost 连接——看起来安全。但一旦你开了 Web Interface 或 FTP、或者不小心把 MySQL 绑定放开到 0.0.0.0，同 Wi-Fi 下任何设备都能连上你的 MySQL：

• DROP DATABASE wordpress; 一键删库
• 修改 WordPress 管理员密码
• 扫走所有数据

改密码：见 改 root 密码，phpMyAdmin 里 2 分钟搞定。改完后：

1. 同步更新 CMS 配置文件里的数据库密码（WordPress 的 wp-config.php、Joomla 的 configuration.php 等）
2. 如果有其他应用通过 TCP 连 MySQL，也要同步更新

二、Web Interface 登录

KSWEB 自带的 Web Interface 管理界面默认 admin / admin——局域网访问手机 IP + 管理端口就能进，进去之后能：

• 一键停掉 Lighttpd / Nginx / Apache / MySQL
• 打开所有服务器的配置文件（可能有明文密码）
• 触发 Cron 任务

改密码：KSWEB SETTINGS → Web Interface Login → 新登录名 + 强密码 + 保存。

改完后之前的登录窗口会自动退出，用新账号重登。

三、FTP 匿名模式

KSWEB 开 FTP 时默认可能是匿名模式——任何同 Wi-Fi 设备都能连上 FTP，读写手机文件：

• 上传木马文件到 htdocs
• 删除你辛苦写的代码
• 下载整个 CMS 的数据库备份（里面有明文密码）

改：FTP Server 设置里关掉匿名模式，设一个用户名和强密码。不传文件时关掉 FTP 开关。

四、Msmtp 邮箱密码

Msmtp 的配置文件（.msmtprc）里邮箱 SMTP 密码是明文存储的。如果有人拿到你的手机文件系统访问权限（FTP、Web Interface 文件浏览器、root），就能读走这个密码。

改：

1. 用邮箱服务商给的应用专用密码（Gmail / QQ 邮箱都支持，独立于主密码）
2. 不要用主密码
3. 配置文件设成只有应用能读（Android 上一般默认就是这样）

强密码建议

别用：admin123、123456、ksweb2026、包含生日或电话号码的密码。

好的密码：长度 ≥ 16 位，包含大小写字母、数字、符号，完全随机，不同地方用不同密码。记不住用密码管理器（1Password、Bitwarden）。

改完验证

改完后：

1. 开 Web Interface → 用旧账号尝试登录 → 应该登不上
2. 用 phpMyAdmin → 旧密码（空）尝试连 MySQL → 应该登不上
3. 用 FTP 客户端 → anonymous 尝试连 → 应该被拒

三处都被拒就是改对了。

长期维护

• 每 1~2 个月检查一次 — 有没有忘了某个弱密码还在用
• 定期备份 — 即使被扫，恢复数据的能力比事前防御更重要
• Web Interface / FTP 不用时关掉 — 少一个暴露面