服务器被黑了怎么办

早上九点，服务我正端着咖啡看监控面板，器被突然发现CPU占用率飙到98%。黑办第一反应是服务又有人跑挖矿脚本了。登录服务器一看，器被好家伙，黑办/tmp目录里躺着个叫“java”的服务进程，占着八个核跑得欢。器被这不是黑办第一次了，但每次遇到还是服务让人血压升高。

别慌，器被先断网。黑办这是服务处理一切入侵事件的第一原则。拔网线或者直接在防火墙规则里把对外端口全部DROP掉。器被别想着先看看对方在干什么——你多犹豫一分钟，黑办他可能已经把你数据库拖走了。我见过太多人急着去杀进程，结果对方早有后门，杀完一个又起来一个，还顺便把日志清了。

断网之后，别急着重装系统。先做内存镜像和磁盘快照，这是取证的关键。用dd把内存dump下来，硬盘可以挂载成只读模式再拷贝一份。很多时候攻击者会植入rootkit，直接看文件系统根本看不到异常。内存里留下的痕迹，比如网络连接、进程链、加载的内核模块，都是揪出后门的重要线索。

说到排查，别一上来就用什么自动扫描工具。先从最简单的看起：last命令查登录记录，cat /var/log/auth.log看SSH暴力破解的痕迹。我上次处理的那台机器，攻击者居然改了root密码后还大摇大摆地登录了好几天，日志里全是他的操作记录，连他下载的脚本路径都留着。这人要么是新手，要么就是根本不在乎被发现。

进程排查要细心。用ps auxf看完整进程树，重点找那些名字看起来正常但路径可疑的进程。比如伪装成sshd的进程，实际跑在/usr/lib/下面，而不是/usr/sbin/。再用lsof -p PID看看每个进程打开了哪些文件——如果发现某个进程在读写/etc/shadow或者你的数据库文件，那基本可以断定它有问题。

找到可疑进程后，先别急着kill。用strace -p PID跟踪它的系统调用，看它连了哪些IP、在读写什么文件。我碰到过一次，攻击者把后门藏在一个看似普通的curl请求里，每隔五分钟向一个境外IP发心跳包。要不是用strace抓到那个TCP连接，光看进程列表根本发现不了异常。

清理完恶意进程和文件后，改所有密码是必须的，包括root、数据库、FTP、面板，一个都不能漏。但光改密码还不够——你得找到入侵的入口。检查一下SSH配置，看有没有开不正常的端口或允许root登录；查一下crontab，攻击者经常在里面加定时任务来维持权限；再看看~/.ssh/authorized_keys，很多人被留了后门钥匙都不知道。

最后，重装系统是最稳妥的方案。如果业务允许，别犹豫，直接格盘重来。我之前有个客户，觉得清理干净了就行，结果两周后又被黑了，原因是攻击者在/boot里藏了个引导级rootkit，重装系统才能彻底清掉。

服务器被黑不是世界末日，但处理方式决定了你是被黑一次还是被黑无数次。记住：断网、取证、排查、清理、重装，这五步走完，基本能解决问题。如果实在搞不定，记得找专业的人帮忙——别硬扛，时间也是成本。