服务器被入侵的迹象清单：从异常进程到陌生公钥

发布时间:2026-10-16 13:08

## 使用说明 怀疑服务器被入侵时，别急着删文件和重启——那些动作会毁掉证据，也可能激怒潜伏的后门。正确顺序：按下述清单自查收集迹象，确认后先隔离（断网或收紧防火墙只留自己的 IP），再取证处置。每条配一条命令，顺序从系统到应用。自查阶段只用只读命令，任何修改动作都留到隔离之后。顺云云服务器的用户可以直接照做。 ## 系统层迹象 异常进程：top 或 ps auxf 里看陌生进程名、路径在临时目录的可执行文件，CPU 被莫名吃满（挖矿的典型特征）。异常用户：检查 /etc/passwd 有无新增账号、UID 为零的可疑账号、无密码账号。陌生公钥： ```bash cat ~/.ssh/authorized_keys ``` 多条不认识的公钥、注释是陌生邮箱，后门实锤。可疑定时任务：crontab -l 逐个用户查，再看 /etc/cron.d 与 /etc/cron.daily 里的陌生文件，挖矿与后门最爱用 cron 保活。把登录历史按时间轴排开，异常时段的会话一目了然。 ## 网络层迹象 异常端口与连接： ```bash ss -tulnp ``` 不认识的监听端口、对外的大量连接（对外扫描或当肉鸡的中转流量），配合 iftop 看流量方向，对照出方向的连接清单，肉鸡与矿机的对外通信特征相当明显。登录记录：last 与 lastb 看成功与失败的登录历史，陌生 IP、非工作时间段的会话都要追问。系统日志 /var/log/secure 里的大量成功登录也是信号。 ## 文件层迹象 最近被改动的文件： ```bash find /var/www -name "*.php" -mtime -7 ``` 上传目录里新增的脚本文件、伪装成图片的代码文件。陌生 SUID 程序：find 加 -perm -4000 扫一遍，与系统默认清单对比。已知 webshell 特征文件名与乱码文件名也是目标。系统的完整性比对工具在可信基线存在时能给出精确清单，基线来自装机后的第一次快照，没有基线就靠经验清单挨个核对。 **处置原则。**迹象坐实两条以上就按事件处理：快照留证、隔离断网、备份关键数据、重装系统是最干净的终局——被入侵过的机器，逐个清后门不如重铺。恢复后逐条补短板：弱口令、未更新组件、暴露面，入侵路径不堵，重装只是轮回；重装后也别急着恢复业务，加固完成再上线。