BMC 默认账号风险与加固
BMC 是独立于操作系统的管理控制器，出厂账号与口令在公开资料里一查即得，历史上因带外通道被入侵导致整机接管的案例并不少见。攻击者拿到 BMC 权限后可以改引导顺序、挂载虚拟介质、读取屏幕与重装系统，破坏力等同物理接触。因此 BMC 的防护等级应当与操作系统对齐：改掉默认凭据只是第一步，来源限制、账号收敛与定期核查同样重要。
基本信息
| 适用平台 | 所有服务器的带外控制器：iDRAC、iLO、iBMC、XCC、通用 BMC |
|---|---|
| 常见默认账号 | 厂商出厂内置账号，具体名称与初始口令以机型手册为准 |
| 主要暴露面 | 带外管理网、Web 界面、IPMI 端口与 Redfish 接口 |
| 加固要点 | 强口令与轮换、账号收敛、来源 ACL、关闭不用的服务入口 |
| 核查频率 | 上线前必查，之后随安全基线周期性复测 |
典型使用场景
- 新机上线前检查：确认默认凭据已更换、多余账号已禁用，再接入生产网
- 安全基线复测：定期核对账号清单与来源限制是否被改回宽松状态
- 离职与外包交接：回收临时账号，避免长期留存无人认领的访问入口
- 厂商远程支持：临时账号与临时来源放行要设定有效期并到期回收
- 事件响应：发现带外通道异常登录时，先收敛访问再保留 SEL 与登录日志
账号与访问限制核查
账号与访问限制核查
ipmitool -I lanplus -H 10.0.0.10 -U admin -f /root/.ipmi_pass user list 1 # 列出该通道的账号与权限
ipmitool -I lanplus -H 10.0.0.10 -U admin -f /root/.ipmi_pass user disable 5 # 禁用闲置账号
ipmitool -I lanplus -H 10.0.0.10 -U admin -f /root/.ipmi_pass lan print 1 | grep -iE "enable|acls" # 检查来源限制是否开启
racadm get iDRAC.Users # Dell 平台用厂商工具做同样的核查
# 改完口令后重新登录一次，验证旧凭据已失效加固项与风险
| 加固项 | 不做会怎样 | 核对方式 |
|---|---|---|
| 更换默认口令 | 公开凭据即可登录带外 | 核对账号清单与口令策略 |
| 禁用闲置账号 | 遗留入口无人管理 | 逐通道导出用户列表 |
| 来源地址限制 | 凭据泄露后仍可远程登录 | 查看 ACL 与允许网段 |
| 关闭无用入口 | 暴露面增加，旧协议易被利用 | 核对服务开关与端口 |
带外网与业务网必须隔离：BMC 一旦与业务网同域，一次凭据泄露就可能同时影响管理面与数据面。
口令轮换要有登记：多个管理员各自改密而不记录，是带外失联最常见的自伤原因。