服务器突然变慢、CPU长期占满、网站打不开，或者云控制台弹出安全告警，第一反应多半是慌。阿里云服务器被攻击怎么办，关键在于处理顺序。大部分入侵在最初几个小时内是能控制住的，只要别急着重装，也别到处乱改密码。这篇文章按实际应急的顺序来讲，并配两个典型情况，方便你在ECS上遇到问题时对照处理。
一、先看三类异常表现
攻击的种类很多，但最先暴露的通常是三类信号：流量异常、资源异常、文件或登录异常。先看云监控里的带宽、连接数和CPU曲线，再查登录日志和进程，基本就能归到具体类型。常见情况包括：
- DDoS流量攻击：带宽或连接数突然飙高，服务变慢甚至中断，但登录和进程通常没有异常。
- 挖矿木马：CPU长期接近100%，进程列表里有名字陌生的程序，业务流量却不大。
- 暴力破解：安全日志里有大量SSH登录失败记录，来源IP分散，个别情况下还会出现成功登录。
- Webshell或漏洞利用：网站目录里多出陌生的PHP或JSP文件，访问日志里有异常参数。
- 勒索或数据篡改：文件被加密或重命名，页面内容被替换。
不必一开始就判断准确，先大致归类，后面的处理方向就清楚了。
二、先止血，再保留证据
确认受到攻击后，先做两件事：收住攻击面，同时留住证据。很多人一上来就删文件、杀进程，结果证据没了，入口也找不到。
1. 收紧安全组
进入ECS的安全组配置，只保留业务必需的端口。网站一般只需要80和443，SSH或RDP端口建议只对自己的办公IP开放。攻击来源明确时，可以直接加拒绝规则。安全组修改即时生效，操作前先确认不会把自己切断，最好提前通过控制台的VNC方式登录，留一条后路。
2. 创建快照，备份日志
排查之前先给云盘创建快照。它既是取证的基础，也能在误操作时回滚。同时把/var/log下的系统日志、网站访问日志和命令历史（如~/.bash_history）复制到其他位置。攻击者常会清理日志，备份越早越安全。
3. 数据还在被加密或外发时，停机或断网
如果发现数据仍在被加密或持续外发，可以考虑停止实例或切断公网，防止损失扩大。这一步会直接影响业务，最好先和业务方确认。
三、从外到内排查入侵痕迹
排查建议从外部连接往系统内部走，重点看以下位置：
- 当前进程和网络连接：关注CPU占用高的进程，以及指向陌生IP的外联连接。
- 定时任务：检查crontab、/etc/cron.d和systemd timer，挖矿程序很常靠它们自启动。
- SSH授权和账户：检查~/.ssh/authorized_keys里是否有陌生公钥，核对系统账户列表，看有没有新增用户。
- 网站目录：按修改时间排序，找出近期被改动的PHP、JSP或可执行文件。
- 服务和启动项：留意名字刻意模仿系统组件的程序。
如果对这些命令不熟，可以开通阿里云云安全中心相关能力。它会对异常进程、webshell和暴力破解给出告警，并提供基线检查结果，适合作为人工排查的补充，减少漏看的风险。
四、两个典型情况
情况一：Redis未授权访问导致挖矿
一个小型内容站的服务器CPU长期满载，网站访问量却没有明显增长。排查发现，Redis绑定在公网0.0.0.0且没有设置密码，攻击者通过写入计划任务植入了挖矿程序。处理时先关停挖矿进程、删除计划任务，再把Redis绑定到127.0.0.1，设置强密码，并在安全组中关闭6379端口的公网访问。这类问题往往是为了远程调试临时放开端口，之后忘了收回。
情况二：AccessKey泄露导致资源被滥用
一个开发团队误把包含AccessKey的配置文件传到了公开代码仓库，几天后账单出现大额异常消费，控制台里还多了几台陌生的ECS实例。处理顺序是：先在RAM控制台禁用该AccessKey并创建新密钥；再释放异常创建的实例，提交工单说明情况并申请核实费用；最后把密钥改为通过环境变量或密钥管理服务读取，给RAM子账号分配最小权限。云账号凭证泄露有时比服务器漏洞更危险，因为它可以绕过主机层面的全部防护。
五、恢复与善后
可疑文件删掉了，不代表服务器就干净了。被植入后门的机器可能还留着没被发现的持久化手段，所以更稳妥的做法是：
- 入侵较深时，从干净的系统镜像重新部署，再迁移业务数据。
- 修改服务器上所有账号的密码，重新生成SSH密钥，并更换可能已泄露的数据库、API和云账号凭证。
- 修补系统和应用的已知漏洞，优先处理框架和中间件的高危更新。
- 有需要时通过工单向阿里云反馈攻击情况，并核查是否涉及费用异常或数据泄露。
- 涉及用户个人信息时，按相关法规评估影响，必要时履行通知义务。
六、长期防护
事后最有价值的工作，是让同类事件不再发生。可以从以下几处入手：
- 收窄暴露面：安全组默认拒绝，只开放业务需要的端口，数据库和缓存不直接暴露公网。
- SSH只用密钥：关闭密码登录，人员较多时配合堡垒机使用。
- 开启MFA：阿里云主账号和RAM用户都绑定多因素认证，防止控制台被直接接管。
- 凭证不进代码：AccessKey通过环境变量或凭据服务管理，并定期轮换。
- 按需引入防护产品：网站业务可用WAF过滤常见攻击，面对大流量攻击时再考虑高防IP。
- 快照和恢复演练：定期做云盘快照，并实际验证恢复流程，真出事时才能快速回到可用状态。
服务器被攻击后最怕的是处理混乱、证据丢失，以及同样的漏洞反复出现。按判断类型、隔离取证、排查清除、彻底恢复、长期防护的顺序推进，大多数事件都能控制住。涉及数据泄露或资金损失时，尽快联系阿里云官方支持，必要时请专业安全团队介入。
