服务器被入侵后，最先暴露的往往是账单多出一笔、CPU 常年占满、用户反馈页面异常这类信号。数据是否被偷，通常要更晚才能确认。等这些信号被注意到，攻击者通常已经待了一段时间。按常见的入侵路径，下面列出被入侵后应先查的设置和日志，并说明处理顺序，避免在慌乱中破坏证据。
入侵通常从哪里进来
云服务器被攻破，多数情况下出在使用环节的疏漏上。以下几类风险在实际事件里出现得最频繁，排查时可以对照着看。
- 弱口令加公网暴露的远程端口。SSH、RDP 直接对公网开放，又使用简单密码，很容易被自动化工具暴力破解。
- 长期未升级的组件。Web 框架、中间件、数据库一直不更新，公开漏洞的利用代码出现后，攻击往往很快跟上。
- 外泄的访问密钥。AccessKey 写进代码仓库、前端脚本或截图里，攻击者不用登录服务器，也能直接操作云资源。
- 过宽的安全组规则。把 0.0.0.0/0 全部放通，内网服务等于直接暴露给整个互联网。
- 残留的后门和计划任务。隐藏账户、定时任务、被替换的系统命令，即使改了密码，入口依然存在。
几个典型场景
下面三个场景是常见情况的简化示例，用来说明问题是怎样发生的，并不对应某个真实团队。
测试机的弱口令
为了方便调试，团队常会临时开一台 Linux 云服务器。SSH 对公网开放，root 密码又很简单，于是几周内 CPU 长期占满，费用曲线悄悄抬高，最后在 /tmp 下找到一个挖矿程序。测试环境同样要认真对待，它常与生产环境共用账号体系，或保存着真实数据的副本，被攻破后横向渗透的风险并不小。
代码仓库里的 AccessKey
配置文件里带着 AccessKey 被误提交到公开仓库，几个小时内就可能被扫描工具抓走。攻击者随后在账号下开了几台高配实例用来挖矿，月底账单远超正常水平。这类事件和服务器是否加固关系不大，问题出在密钥管理。云账号的密钥等同于账号的控制权，应该通过子账号和最小权限隔离，并定期轮换。
没人跟进的中间件补丁
网站一直能正常打开，团队便觉得没必要动老版本的 Web 中间件。公开漏洞的利用脚本流传后，攻击者上传网页木马拿到权限，改掉了部分页面。复盘时发现，官方补丁早已发布，只是没有人负责跟进。更新需要明确的责任人和周期，哪怕每月看一次安全公告，也能挡住不少常见攻击。
先查哪几项
入侵很少会弹出明确的报警，但下面几项设置和日志值得第一时间确认，每一项都能在十几分钟内完成基本检查。
- CPU、内存、带宽。在没有业务高峰的时段持续走高，尤其是 CPU 长期占满，往往是挖矿程序在运行。
- 用户和权限。检查 /etc/passwd 中是否多出不认识的账号，sudo 列表是否被改动。
- 定时任务和启动项。查看 crontab 和 systemd 服务，留意来源不明、命令形式古怪的条目。
- 登录记录。在 /var/log/auth.log 或 /var/log/secure 中，看失败记录是否大量出现，成功登录的 IP 是否陌生。
- SSH 公钥。检查 authorized_keys 文件，确认里面没有你没添加过的密钥。
- 出网流量和账单。云监控里出网流量明显增加，或账单出现不明实例、不明存储，都应当作为线索对待。
查到异常时不必急着下结论。伪装的进程名和看似正常的定时任务都很常见，最稳妥的做法是逐项对照，把异常记下来，再进入处置环节。
确认入侵后的处理顺序
一旦确认或高度怀疑服务器已被攻破，建议按下面的顺序处理。先止损，同时保留后续分析需要的证据。
- 先隔离，别急着关机。通过安全组或云防火墙阻断异常出网和非必要的入站访问。关机会清空内存，内存中的线索也会随之丢失。
- 保存证据。导出系统日志、登录记录、可疑进程列表和计划任务，再对磁盘做快照。这些材料既用于排查，也可能用于后续说明。
- 轮换所有凭证。修改系统账户密码、数据库密码和应用密钥，云账号的 AccessKey 也要更换。动手前先确认哪些服务会受影响，避免改完后业务整体中断。
- 清理与排查。找出后门、异常进程和可疑文件并删除，同时检查 SSH 公钥和启动项。删除前先保留副本，万一误判还能回溯。
- 修补漏洞并加固。升级受影响的组件，关闭不需要的端口和服务。
- 评估影响并通知相关方。确认是否涉及用户数据泄露，必要时按相关法规向主管部门或用户报告。
如果团队缺少应急经验，或者入侵涉及核心业务数据，建议尽早联系专业的安全服务商。仓促操作容易造成二次损失，比如清理时误删关键日志，或者重装系统前没有做好备份。
日常防护怎么做
安全防护没有一劳永逸的方案，但下面几项投入不大，见效也比较直接。
- 收紧安全组。只开放业务必需的端口。SSH 和数据库端口尽量限制到固定办公 IP，或者通过堡垒机访问。
- 改用密钥登录。为 SSH 配置密钥对，禁用密码登录，关闭 root 远程登录，并考虑开启失败次数限制。
- 开启主机安全防护。腾讯云提供的主机安全产品可以帮助发现弱口令、异常进程和恶意文件，适合作为基础防线，但不能替代日常检查。
- 用子账号管理密钥。通过访问管理（CAM）分配最小权限，代码里不硬编码密钥，并定期轮换。
- 留好日志和告警。开启云审计和系统日志留存，同时为异常登录和费用设置告警，出了问题才查得到。
- 建立补丁流程。明确负责人和更新周期，关注官方安全公告，高危漏洞优先处理。
- 备份并演练恢复。备份只有恢复测试过才算可靠，建议存放在与服务器隔离的位置。
不少入侵事件出在配置疏忽和流程缺失上。先把端口、密钥、日志和补丁这几件事做扎实，大部分常见攻击都能挡在门外。
