后门查杀：从进程到启动项的顺序

确认服务器被入侵后，查后门要讲顺序：进程、计划任务、公钥、webshell 依次过一遍。顺序乱了的代价是清了一处、另一处又把木马拉起来，等于白干。 准备条件：root 权限，以及另一个干净的管理入口——比如云服务商控制台的远程连接，防止攻击者在 SSH 断开后锁死访问。 第一查，进程与网络连接。可疑进程常有两个特征：路径异常，藏在 /tmp、/dev/shm 或点开头的隐藏目录；对外连接可疑 IP： ps auxf | less ss -antp | grep ESTAB 对每一条外连记录核对用途，说不清的一律记录在案。注意先记录再终止，进程信息本身就是证据，直接 kill 会丢线索。 第二查，计划任务与服务。这是木马复活的发动机，也是最容易漏查的一环。检查清单：当前用户的 crontab -l；/etc/crontab 与 /etc/cron.d/、/etc/cron.daily/ 目录；systemd 侧用 systemctl list-timers 列出定时器，输出里 ACTIVATES 一列对应的服务文件逐个核对创建时间，入侵当天新建的重点怀疑，再看 /etc/systemd/system/ 下创建时间可疑的 service 文件；最后别忘 /etc/rc.local。任务内容指向非常规路径脚本的，先看脚本再决定删不删，顺手记下脚本的落盘时间，与入侵时间线互相印证。 第三查，SSH 公钥。攻击者最爱用公钥替代密码维持访问，删了密码却留着公钥，等于换了锁没收回备用钥匙。逐个用户检查： cat /root/.ssh/authorized_keys ls /home/*/.ssh/authorized_keys 2>/dev/null 陌生的公钥条目直接删除，随后更换全部口令与密钥。顺带过一遍 /etc/passwd，看有没有新添的、UID 为 0 的异常账号。 第四查，webshell。网站目录里最近被修改的脚本重点排查： find /var/www -type f -name "*.php" -mtime -7 对命中的文件查看是否含 eval、assert、base64_decode 组合的紧凑代码，确认的删除并回源自干净备份。非 PHP 站点同样要查，把命令里的后缀参数换成对应语言的脚本类型即可。 常见报错：四查都干净但流量仍异常，扩大范围检查 /etc/ld.so.preload 与内核级后门，用 rkhunter 之类的工具辅助；查杀完毕按基线加固清单重新加固，并连续观察一周日志确认无复发。