服务器被肉鸡，最直接有效的办法是：立刻断网隔离，保留现场取证，然后对系统做一次彻底的“翻底排查”，清除后门、修复漏洞，最后重装系统或恢复干净快照并全面加固。肉鸡不是普通的病毒感染，攻击者已经拿下了你的系统权限，可能植入了潜伏的后门，下面这套流程，照着做,能把损失降到最低。
服务器被入侵如何排查
当你发现CPU跑满、网络流量异常、莫名其妙多了高权限账号时，别慌，先冷静下来，按照流程排查，搞清楚攻击者进来做了什么,这是后续清除的基础。
立刻隔离并保留证据
- 先通过云控制台或交换机直接断开服务器外网，但不要关机，关机会让内存里的恶意进程消失，影响痕迹分析，就像案发现场,你不能先把屋子拆了再让警察来。
- 保留磁盘和内存的镜像，云服务器直接用控制台做“硬盘快照”，物理机用dd命令做镜像，这是后续分析的重要依据,也是法律追责的凭证。
- 用独立的安全工具（比如杀毒软件PE版或专门的应急响应工具）扫描，不要直接在被入侵的系统里双击运行，因为后门可能篡改了系统底层,工具查出来的结果不可信。
排查登录记录和系统账号
攻击者怎么进来的？这是第一个要回答的问题,痕迹主要在日志里。
- 查看登录日志：
last -n 100和lastb -n 100，前者看最近成功登录，后者看暴力破解失败记录，重点留意非常规时间段的登录,以及从陌生IP登录的会话。 - 检查账号文件：
cat /etc/passwd，逐个筛查，看是否有UID为0的账号（管理员权限），或者密码字段异常（不是x）的账号，攻击者通常会创建一个后门账号,比如在passwd文件末尾加一行看起来像普通用户的记录。 - 检查登录白名单和SSH信任关系：
cat ~/.ssh/authorized_keys，如果里面多了你从未见过的公钥，那攻击者能直接免密登录,这比密码被盗更危险。
排查异常的进程和连接
攻击者拿到权限后，会干两件事：挂挖矿木马，或者开代理服务赚钱,这两者都会留下明显的进程和网络连接痕迹。
- 用
top或ps aux --sort=-%cpu查看CPU占用最高的进程，看到一个叫xmrig或者奇怪随机字符串的进程占满CPU，基本就是挖矿木马，但这个进程很可能会伪装成系统服务名（比如kworkerd冒充workerd），需要看它的完整路径：ls -l /proc/[PID]/exe。 - 用
netstat -antlp或ss -antlp查看所有外联连接，肉鸡会主动向外发送数据，找到那些频繁连接海外IP或者非标准端口的PID,顺着PID定位到可疑的可执行文件上。 - 注意：上面的排查依赖系统命令，如果怀疑命令被替换（比如输入
ls没反应），可以用静态编译的busybox工具来检查,或者直接挂载磁盘镜像到另一台干净机器上看。
云服务器被攻击怎么办
如果你用的是云服务器，处理流程有额外的细节,因为你的操作会直接影响云平台的安全告警和按量付费账单。
云平台上的紧急处置顺序
云服务器和物理机最大的区别在于，安全组是天然的网络隔离手段，在拿到服务器密码前，先从控制台把安全组规则设置为全封禁，等于给服务器套上一个铁笼子,出不去也进不来。
- 在控制台创建的“云镜”或“态势感知”等安全产品，里面通常有攻击溯源功能，能看到攻击者的完整攻击链,这比手工排查更快。
- 挂载另一块全新的数据盘，把原始磁盘的快照做只读挂载，用干净的系统环境来分析病毒,而不是在有毒的环境里反复折腾。
检查按量付费账单和抢注资源
被植入挖矿程序的肉鸡，最直观的损失就是账单。我见过有人云服务器被当肉鸡挖了一个月，按量付费账单翻了几十倍，处理期间每天上控制台看一次消费明细,尤其是带宽和CPU使用时长。
如果检测到攻击者利用你的服务器创建了新的云资源（比如新开了VPS用于发垃圾邮件），务必在控制台里排查所有子账号的API密钥，确认没有可疑的AccessKey泄露，这个很隐蔽，多数人只换密码,忘了吊销API密钥。
清除后门与恶意文件的实操路径
排查完，进入正题：把藏起来的东西挖出来，清除不是随便删几个文件那么简单,得按层次来。
查Webshell和网站恶意代码
如果服务器的Web目录（如nginx的html根目录或Apache的htdocs）被写入PHP、JSP等脚本,说明入侵途径大概率是网站漏洞。
- 在Web目录下执行
find -mtime -7 -type f，列出最近7天被修改的文件，挨个看，重点看后缀为php、jsp、aspx的文件,以及图片文件里混着的代码。 - 使用专业的Webshell查杀工具（如河马Webshell查杀工具，这是业内常见的开源工具）扫描Web目录,这类工具能识别经过加密混淆的恶意脚本。
- 检查访问日志（如
access.log），搜索eval(、base64_decode(等危险函数，定位攻击者是通过哪个URL上传的木马，如果找不到漏洞根源，即使删了木马,过几天还会再被入侵。
清除Rootkit和后门木马
Rootkit是黑客用来隐藏入侵痕迹的工具，它能把进程、文件、网络连接全部隐藏起来，让你在系统里看到的是一个“干净”的假象。
- 使用Rootkit查杀工具，如
rkhunter或chkrootkit，进行全盘扫描，这类工具通过比对系统调用和文件哈希来发现异常，但工具不是万能的,查不到不代表没有。 - 重点检查计划任务：
crontab -l和cat /etc/crontab，攻击者常把挖矿程序设为每5分钟重启一次，防止进程被杀。杀掉进程后立刻观察是否重生，如果有，大概率有守护脚本在计划任务里。 - 清理系统启动项：检查
/etc/rc.local、/etc/init.d/下的脚本，以及systemctl list-unit-files | grep enabled里的可疑服务,后门通常注册为开机自启服务。
封堵入侵源并重置所有凭据
清除后门后，立刻做以下操作,不给攻击者留第二次机会：
- 重置所有账号的密码，特别是
root和数据库密码，密码要随机生成，包含大小写字母、数字和特殊字符。 - 更换SSH端口（配置
/etc/ssh/sshd_config），禁用密码登录，只保留密钥登录。这是目前阻止暴力破解最有效的手段之一，即便攻击者知道密码，没有私钥也进不来。 - 检查并删除不必要的系统用户，清理
/root/.ssh/authorized_keys里的未知公钥，配置安全组或防火墙只放行必要的业务端口,删除所有非必要的外网访问入口。
服务器安全加固方案
清理干净并不代表安全，真正的安全是把漏洞堵上、把口子收紧，一套完整的加固方案,能大幅降低再次沦为肉鸡的概率。
系统层加固
- 及时更新操作系统补丁，绝大多数入侵是利用已知漏洞，CVE公布后几天内就会有攻击脚本,不补丁等于裸奔。
- 安装并配置Fail2ban这类入侵防御工具，它能自动扫描日志中的暴力破解行为，并临时封禁攻击IP,大幅提高破解成本。
- 限制
/etc/shadow、/etc/sudoers等核心文件的权限，防止普通用户读取或修改，默认运维账号使用低权限操作，只有需要时用sudo提权,减少单点沦陷的影响面。
应用层加固
如果服务器跑着网站或数据库，应用层的漏洞同样致命,表格式对比：
- 数据库：使用最小权限账号，远程访问仅限内网，修改默认端口,定期备份且备份文件不放在网站目录内。
- Web中间件：隐藏版本号，删除默认示例页面，修改管理后台路径,限制上传目录执行脚本权限。
- 云安全组：遵循白名单原则，只放行业务端口，出方向规则也做限制,防止木马向外传输数据。
日常监控与备份策略
没有任何防护是永久的，定期备份是最后一道防线，但备份不能和服务器放在同一台机器上。
- 配置云监控，对CPU使用率、出网流量、登录失败次数设置阈值告警，挖矿木马一旦启动，CPU会瞬间飙升，这些告警能让你在几分钟内发现异常,而不是等账单出来才反应。
- 使用集中式日志管理（如ELK）收集安全日志，保留至少90天，平时可能用不上，但出了安全问题,这些数据能提供最直接的证据。
- 做“异地冷备”或者“对象存储”备份，每周一次自动快照，并且定期演练恢复流程，系统被破坏后，一份能用的备份是生命线，行业共识认为，备份恢复速度每快一小时,损失就能少一个量级。
肉鸡的根源在于服务器“裸奔”，要么端口暴露太多，要么密码太弱，要么漏洞不打补丁，断网、排查、清理、加固，按这个顺序走，能治标，养成定期备份、最小权限、白名单防火墙的习惯，才能治本。恢复安全靠的是操作流程，守住安全靠的则是运维纪律。 漏洞总有新的，但是干净的系统、严密的访问控制,始终是最有效的防线。
服务器被肉鸡后重装系统能彻底清除吗
能，但前提是你只重装系统盘，数据盘没有执行恶意文件残留可不行。 重装系统相当于把Windows或Linux的系统目录格式化了，木马和Rootkit跟着消失，但如果你的数据盘（如/data、/home）挂着，且里面被写入了Webshell或恶意脚本，重装后固化在数据库或Web目录里的后门依然有效，更稳妥的方案是：先备份需要保留的数据文件，扫描确认干净后重装系统,再用快照比对找出异常文件和计划任务。
网站被挂马与服务器被入侵的区别
网站被挂马（Webshell）只是服务器被入侵的其中一种形式，且通常发生在Web应用层面。 挂马指攻击者利用了网站代码或组件的漏洞，在Web目录写入了一个可执行脚本文件，通过这个脚本控制网站数据，而服务器被入侵的范围更广泛，攻击者可能拿到了SSH或远程桌面权限，直接在操作系统层面植入了Rootkit或挖矿程序，处理挂马，重传网站源码、删除恶意脚本即可；处理服务器入侵，除了清理文件，还必须重置系统账号、检查登录通道和底层后门。