早上七点，阿里手机警报响了。云服不是被黑闹钟，是客攻阿里云盾的短信——你的服务器CPU跑满100%，对外流量每秒冲上2Gbps。击办登录控制台一看，阿里CPU占用榜第一名是云服个叫“xmrig”的进程，密码早被改了。被黑这不是客攻电影剧情，是击办我上个月的真实遭遇。

别慌，阿里先做三件事：断开外网、云服快照备份、被黑改密码。客攻外网一断，击办攻击源立刻摸不到你的机器，损害范围锁死。快照是救命稻草——万一后面清理时删错文件，还能回滚。改密码要连SSH端口一起改，默认22端口早被扫描器盯烂了，换成2222或别的随机端口，能挡掉九成脚本小子。

登录阿里云控制台，先看安全组的入方向规则。如果发现一堆陌生IP段在凌晨三点频繁尝试SSH登录，直接全拉黑。但别急着删进程——先截图留证据，再查启动项。用systemctl list-units --type=service看有没有异常服务，比如名字带“update”或“mysql”但路径在/tmp下的，八成是挖矿木马伪装。我那次就是被塞了个“docker”开头的服务，实际跑的是门罗币矿机。

清理要彻底。用crontab -l查计划任务，攻击者最爱往这儿埋定时炸弹。再看/etc/ld.so.preload，如果里面有可疑.so文件，说明系统库被劫持了——这招最阴险，就算你重装软件，木马照样复活。我那次排查时发现root的.bashrc里被追加了下载脚本，每次登录都重新拉取恶意代码，不删干净就白忙活。

阿里云自带的安全中心这时候能派上用场。打开“基线检查”，它会自动扫出弱口令、未修复的CVE漏洞。我那次服务器被攻破，根源就是Redis没设密码还暴露在公网，攻击者用redis-cli写了个SSH公钥进去，直接免密登录。所以别图省事，云服务器上所有对外服务都得改默认端口、加访问白名单——哪怕是测试环境，黑客的扫描器可不管你是不是“临时用一下”。

处理完技术层面，别忘了改阿里云账号的登录密码和AccessKey。攻击者可能通过控制台后门留了后手，比如创建了个RAM子账号，权限跟你一样大。我那次就在“访问控制”里发现多了一个从未见过的用户，还绑定了管理员策略，吓得赶紧全删重设。

事后复盘，最该骂的是自己。服务器上跑的只是个个人博客，觉得没人惦记，结果被当成了挖矿肉鸡。阿里云的安骑士（云安全中心）免费版其实够用，但默认只开基础防护，你得手动开启“恶意进程查杀”和“网站后门查杀”这两个开关，否则它只报警不处理。别指望云厂商替你操心所有事——他们提供的是一把锁，但门是你自己没关严。

最后给你个实用建议：每台服务器都建个普通用户，日常操作别用root。攻击者拿到root权限的前提是你自己把root密码设得太简单，或者服务漏洞直接提权。用sudo提权至少能留个审计日志，哪天真出事了，翻日志能省一半排查时间。

服务器被黑这事，跟家里进贼一样——贼走了，你得换锁、修窗、装摄像头，而不是只把被翻乱的抽屉收拾好。阿里云的快照功能记得每天自动拍一个，保留三天。真到需要回滚那天，你会谢天谢地自己当初没省这几分钱。