服务器被肉鸡了，核心处理思路就六个字：断网、取证、重装，先切掉外网，保留现场，再清理木马和加固系统，最后全盘重做最保险犹豫越久，服务器被当作跳板攻打别家的可能性就越大，后果远超你想象。
服务器被肉鸡了怎么办先做这三件事别乱碰
肉鸡这词听着有点可爱,但你换个角度就笑不出来了：你的服务器已经被别人远程接管，成了一个随时听令的“打手”，这类情况在安全圈有个专业叫法，叫“受控主机”，攻击者拿它去挖矿、发垃圾邮件、扫描内网，甚至对外发起DDoS，多数情况下，服务器被肉鸡了并不是因为它有多值钱，而是因为你的登录密码太好猜，或者系统里的某个漏洞一直没补。
发现服务器反应迟缓、带宽被吃满、CPU飙到顶，先别急着重启，重启会打断攻击者的连接，但也会把正在运行的木马进程给“藏”起来，证据链全断，正确的第一步是把服务器的出方向网络断开，如果你用的是云服务器，直接在控制台安全组里把出方向规则全部拒绝；如果是物理机，直接拔掉网线。
接着做两件事：把当前进程和网络连接快照保存下来，用于判断问题根源，跟着下面这几条命令走，顺手复制结果到本地存着：
ps aux > /tmp/procs.txt记录所有进程快照netstat -anpt > /tmp/conns.txt记录所有外部连接last -a > /tmp/logins.txt记录登录记录crontab -l > /tmp/crons.txt记录当前用户的计划任务
这些文件建议立刻scp到你自己电脑上,等断网、留痕做完，再去考虑怎么杀毒，顺序别搞反。
如何快速清除肉鸡后门定位、隔离、删除三部曲
到了排查阶段,你的目标不是看到木马就杀死，而是要把它“连根拔起”，多数挖矿木马都藏在进程树深处，还会用守护进程互相拉起，直接kill掉一个，几秒后又会复活，所以你必须先定位再动手。
用系统自带工具揪出可疑进程
登录服务器后,第一件事用 top -c 查看CPU占用前几位的进程，正常的业务进程CPU一般稳定在某个使用率，一旦出现某个叫kworker、java、nginx的进程CPU接近100%，先不要认为它就是正常的，执行 ls -la /proc/[PID]/exe 看看这个进程的真实可执行文件路径。
重点排查这几类隐藏位置：
/tmp和/var/tmp目录下的脚本文件，文件名往往随机生成/etc/crontab和/var/spool/cron/下的定时任务，攻击者最爱把反弹Shell写成定时任务/etc/ld.so.preload文件，这里如果被写入恶意so库，系统所有命令都会被“戴面具”/root/.ssh/authorized_keys和/home//.ssh/authorized_keys，多了一把陌生人的钥匙就等于后门常开
执行一条 find / -mmin -3 -type f -name ".sh" 2>/dev/null，看看最近三分钟有没有新生成的脚本，被入侵的服务器多少会留下这类临时文件，老老实实躺在那。
查看计划任务和系统服务
行业共识认为,超过一半的持久化后门藏在计划任务和服务里，用 crontab -l 看当前用户任务，用 cat /etc/crontab 看系统全局任务，如果你发现一行类似 /bin/bash /tmp/.x.sh >/dev/null 2>&1 的内容，基本可以确定服务器已经是肉鸡，把这条任务删掉的同时，还要把对应的脚本文件内容记下来，看看它释放了哪些兄弟文件。
接着用 systemctl list-unit-files --type=service --state=enabled 查看开机自启服务，找名字看起来像是系统服务的可疑单位，用 systemctl cat 服务名 查看启动命令，定位到具体二进制文件位置。
杀掉进程后马上清除文件
顺序上,先把可疑进程从运行中“冻结”：
kill -STOP 恶意进程PID
kill -STOP 会把进程暂停，占用的CPU瞬间降下来，但进程不会退出，这时候再查看它的子进程、父进程、打开的文件，确认剩余关联后，用 kill -9 干掉整个进程组，做完这些再删除文件，避免木马自我修复。
清理完成后,还要检查SSH登录限制，打开 /etc/ssh/sshd_config，确认 PermitRootLogin 是 no；检查 /etc/passwd 里是否有新增的uid为0的账号，除了root以外出现任何高权限账号都值得警惕；再用 iptables -S 看看有没有陌生的端口转发规则。
不少站长找到这一步时会产生疑问：自己按网上教程查了进程、删了文件，怎么确认没问题？其实你还会遇到一种情况，比如服务器被植入挖矿木马怎么清除都清不干净，重启后CPU又满格这多半说明木马已被写入引导区或内核模块，单纯靠杀毒已经控制不住，唯一建议就是备份业务数据，准备重装系统。
服务器安全加固方案从重装到“换血”
清理完木马后的第一反应是庆幸,但你得想清楚：你能看到的木马只是攻击者留的“哨兵”，他在你系统里可能已经埋下了不止一条后路，最简单的做法是格式化系统盘，重装干净的操作系统，这不是小题大做，而是成本最低的保险。
系统重装后必须做的六项动作
无论你用宝塔面板、云镜像还是手工LNMP环境，重装完成后，马上做以下操作：
- 修改SSH默认端口：编辑
/etc/ssh/sshd_config，把22改成高位端口，比如22881，然后重启sshd服务 - 禁用root远程登录：新建一个普通用户，赋予sudo权限，日常运维只用这个账号，root只允许通过控制台登录
- 建立密钥登录：本地生成密钥对，把公钥放到服务器，然后关闭密码登录选项
- 开启系统防火墙：用
ufw或firewalld，只放行业务端口、SSH端口，其他全部拒绝 - 更新软件源和补丁：执行系统全量升级，尤其是内核和OpenSSL这类底层组件
- 安装安全防护组件：云服务器自带的云盾、主机安全Agent，物理机可以装OSSEC或ClamAV，至少让服务器有“监控眼”
下面这份对比方式能帮你确认自己该做到哪一步,选你实际能接受的范围：
| 加固程度 | 适用场景 | 核心动作 |
|---|---|---|
| 低成本加固 | 个人小网站、临时测试机 | 改密码、改SSH端口、开防火墙 |
| 中等加固 | 正常线上业务 | 密钥登录、禁用root、定期备份 |
| 高强度加固 | 涉钱涉数据、长期稳定运行 | 重装系统、堡垒机、日志审计、监控告警 |
| 物理隔离级 | 高安全要求项目 | 内外网分离、专线接入、硬件WAF |
行业内多年经验是,重装系统后三小时内不做安全加固的服务器，几乎等于裸奔状态，据国家互联网应急中心（CNCERT）公开数据，相当一部分受控服务器被攻破后，很快又被同一波攻击者再次拿下，原因就是只杀木马没堵漏洞。
针对常用中间件重点查漏
如果服务器跑着Nginx、Tomcat、MySQL这类应用，加固时单独给它们上锁，拿Nginx举例，首先确认版本不是已停止维护的旧版，其次检查配置文件中是否存在可疑的location匹配规则，/wp-admin/; 这种明显不是自己写的路由，数据库端口不要对公网开放，连接串中账号密码要强密码化，买便宜的云服务器时要额外谨慎，有些低配低价的主机默认开放全部端口，攻击者扫一遍就能批量进同一网段的其他肉鸡，你一不小心就成了“陪跑”。
长期防范服务器被入侵：监控体系怎么搭
清理完后,给自己定一个规矩：每周花十分钟看一次告警，别装完就扔一边。“服务器被肉鸡了怎么办”这个问题，回答到最后其实是一个持续运维的课题。
做一套轻量级的入侵检测
如果不想花钱买商业WAF,可以用开源方案搭一个基础版，核心逻辑很简单：收集登录日志、进程快照、文件变化，发现异常就通知你。
推荐做法：
- 用
fail2ban监控SSH日志，连续失败五次就封禁IP一小时 - 用
inotifywait监控网站目录下新增的动态脚本，检测到立即告警 - 用
auditd审计关键命令执行记录，比如whoami、nc、curl这些高危命令 - 云平台用户直接开启控制台的安全告警,异常登录、高危命令执行都会推送短信
数据备份与应急演练
有些服务器承载着核心数据库,不能随意停机测试，那就在生产环境旁边挂一台备份机，每天从主库拉一份binlog回来，真正到了需要恢复时，确定恢复点目标是一个小时还是24小时，压力完全不同。
这里插一句业内专家的提醒：你的安全方案再全，也挡不住内部误操作和外包开发留下的后门，定期把核心业务部署在一个隔离测试环境里，模拟一次“服务器被肉鸡了怎么办”的走位流程，跑过两轮之后，至少你能知道自己家的服务器被入侵后，从发现到恢复只需要多长时间，实战永远比理论管用。
常见疑问：关于肉鸡清理和加固的几个追问
清理完木马后，必须重装系统吗？
如果木马只出现在用户态,比如一个临时脚本加计划任务，清理干净后可以不重装，但如果你发现了内核级rootkit、动态链接库劫持，或者清理后CPU依然无故升高，重装是唯一稳妥选项，自己判断不了时，直接按最高标准处理，省得反反复复。
服务器安全加固后还会被入侵吗？
加固只是提高门槛,不存在百分百绝对安全，黑客每天用自动化工具扫描全网，你的服务器只要有任何一个弱点被命中，就会被列入攻击队列，定期更新补丁、收敛访问权限、减少对外暴露面，这三件事能做到位，出事的概率会大幅下降，不用追求极致安全，先做到比隔壁服务器难啃就行。
最便宜的处理方式是哪种？
自己手动清木马加改密码,不花一分钱，但耗时耗神，而且很可能清不彻底，买一台高防服务器，或者给现有服务器加云防火墙，一年也就几百到几千元，取决于业务规模，假如服务器用途仅仅是跑一个小网站，建议直接换一台新配置的重装系统，按小时计费的那种机器，数据备份好，半小时就能完成迁移，从成本角度看，服务器被入侵后立刻放弃老环境、重建新环境，往往比反复尝试清理更省钱。