服务器对外发包异常：可能被当跳板

云监控里出方向流量持续拉高，业务量却没有任何变化，服务器可能已经被人拿来当跳板。处置原则只有一条：先断网，再查杀，顺序不能反。 为什么先断网 被控的机器继续在线，会持续对外发起攻击、消耗带宽，还可能被第三方拉黑地址。第一动作是在云控制台收紧安全组：出入方向只放行自己的固定 IP，其他全部拒绝，业务确认安全之前不恢复。断网前把控制台的流量图截图保存，事后复盘和申诉都用得上。收紧安全组一两分钟就能完成，先把损失止住，再谈排查。 看流量画像 恢复最小访问后开始定位，实时连接看这两条： iftop -i eth0 ss -tnp | grep ESTAB 重点找陌生的外联 IP 和对应的进程；对外发往 25（邮件）、445（文件共享）端口，或高频 UDP 小包，都尤其可疑。想按进程看流量，nethogs 直接排序列出谁在发包、发多少。对照云监控的出方向曲线，看异常从哪个时间点开始，再翻那个时间点的登录日志；可疑的外联 IP 查一下归属地，能辅助判断攻击类型。 找可疑进程与入口 top -c 按资源排序看异常进程；crontab -l 和 ls -l /etc/cron.d 查计划任务里的定时下载脚本；last 看近期登录来源，陌生的境外 IP 登录记录，基本说明入口就是弱密码。Web 目录里近期新增或修改的脚本重点翻： find /www -name '*.php' -mtime -3 -ls 攻击者留下的后门常在这里。弱密码、老旧组件、后台裸奔，是跳板机的三大来源。改过 root 密码还中招的，检查有没有别人维护的后台和忘关的测试账号。 处置与恢复 无法确认系统已经干净时，最稳妥的是重装系统，用备份恢复数据，全套密码换成十六位以上的随机串。重装后的加固清单：SSH 改密钥登录、数据库不对外网开放、组件升级到最新稳定版、补基础监控。把这次事件写成记录，包括入口、影响、处置步骤，下次排查快得多。对外有用户的业务，处置期间发布一条情况说明，比用户自己发现要好。