最近小伙伴小李在腾讯云主机上收到系统提示，原来服务器被木马袭击了。今天就跟着这篇“自媒体”式的指南，一起拆解这场网络“四马”之乱，重返安全地带！
先别着急，先锁定症状：CPU飙高、网络包往返奇怪端口、磁盘读写异常频繁，甚至连微信推送也出现“恶意文件”提示。别以为这都是运维打哨，往往真的是木马偷偷开矿。
第一步：确认是否有未知进程。SSH 进来，直接运行 ps aux | grep -v grep | grep -i "java|python|bash" 这能快速抓到常见的后门。跑到 /var/log/auth.log 或者 /var/log/secure 看看登录异常。
第二步：核对日志文件。腾讯云的安全中心会生成“安全攻击日志”，点击进去查看是否出现“360°外部IP 夜间高频访问”或者“异常登录尝试”。拔掉外侧路由将此日志记录下，准备后续排查。
第三步：检查端口映射。用 netstat -tulpn | grep LISTEN 或者 ss -tunlp 排除不明监听。往往木马会在 4444、5555 以或 3389、2323 等常见端口悄悄地开通远程服务。
如果端口超出了常规 HTTP (80,443) 或 SSH (22) 的范围，立刻通过 ufw deny 4444/tcp 先拦截外网访问，避免木马继续通信。
第四步：文件完整性检查。对比系统已知的安全发行版包，例如 Debian 的 /usr/bin/ssh 或者 CentOS 的 /usr/sbin/httpd 的 SHA256 值；若发现不一样，基本上线战争。
第五步：利用腾讯云安全中心的“一键检测”功能。登陆控制台 → 安全中心 → 威胁检测，开启“云服务器全网安全扫描”，系统会自动提示可疑文件、异常进程。
下列是我搜索到的十大常见木马举例（云服务器为主）：白盒木马、远程控制器、恶意插件、APT 0day、远程键盘记录器、内存注入、命令与控制、后门服务、加密挖矿、间谍木马。
第六步：隔离与清理。把发现的可疑进程 kill 并删除对应文件，记得清理 cron、at 伪装任务。若使用多账号，检查自己是否绑定了第三方访问。
第七步：找回原始镜像。腾讯云提供“一键恢复”功能，可直接恢复到最近一次的安全快照，彻底刷掉木马残留。恢复后记得更新系统、重置 root 和数据库密码。
第八步：强化防御。启用腾讯云安全加速，开启 WAF，配置 IP 黑白名单。把服务器 DNS 解析到可信提供商，开启 TLS 加密，拒绝明文传输。
第九步：教育团队。安全培训：让运维打卡“最常见木马 10 种”，并学会用 chkrootkit、rkhunter 检查内核 rootkit，保持每日健康体检。
第十步：及时升级。保持系统、套件及时更新，尤其是核心功能（如 OpenSSL、nginx、php）。让木马无“新鲜奶酪”可掏。
最后，提醒广大开发者：自己写脚本时别随意使用 bash -c 从外部拉取脚本，尤其是未签名的脚本。事后检查脚本完整性，降低外部漏洞注入。
玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink
若还有疑问，辣么立刻把日志发给客服，腾讯云的安全团队会第一时间介入。精品服务，等待你把服务器搬回正轨。