服务器被入侵挂马怎么办？

租服务器做业务，挂马和入侵是绕不开的概率事件——弱密码、没打的老补丁、被扫出来的面板端口，任何一个都能成为入口。真正出事时，处理顺序比技术本身重要：不少管理员一上来就忙着杀进程删文件，结果马没杀干净，证据也毁了。正确顺序是先判断、再隔离、后取证，清理放最后。下面按这条线走一遍，操作以宝塔面板加命令行结合来写。

先判断：有没有中招，看这几处

典型迹象：半夜 CPU 无故跑满、进程列表里有陌生名字、网站被人跳转、百度快照内容不对、对外发包流量异常大。命令行确认三条：

• last 看近期登录记录，lastb 看失败尝试，陌生 IP 登成功过就要警觉。

• crontab -l 看计划任务，挖矿脚本常藏在这里，宝塔用户再进【计划任务】核对一遍有没有不认识的条目。

• find /www/wwwroot -mtime -3 -name "*.php" 找最近三天被改过的网站文件，挂马文件的时间戳藏不住。

第一步：隔离，别急着杀

发现中招先做隔离，原因很实际：带守护机制的木马，你杀一个它拉起一个，边杀边用只会打草惊蛇。操作顺序：

到云服务商控制台把防火墙收紧，只留 SSH 一个端口，Web 服务全部断掉对外；宝塔里【网站】逐个停止站点，数据库暂不动。接着改掉 SSH 密码、换登录密钥，面板密码和数据库密码一起换——入侵者手里多半已经存了一份你的密码表。

第二步：取证，这几样先留档

别急着重装。把 /var/log/secure、lastb 的输出、crontab 内容、可疑文件的完整路径打包下载到本地。这些证据后面申请防护协助、追责、复盘漏洞入口都用得上。宝塔用户再把【安全】里的登录日志截图存一份。

第三步：清理，分两条路走

轻度路线：用免费查杀工具扫一遍网站目录，删掉 webshell；接着补入口——Web 后台弱密码、老版本插件、上传功能没校验，这三个是挂马来源大户，不修的话删了还会被传上来。

重度路线别恋战。系统层面被进了陌生账号、装了守护，清理很难扫干净，重装反而快。数据先备份再校验——代码文件逐个查过时间戳，数据库导出后换环境验证，别把带马的压缩包原样搬回新系统。

第四步：清完把口子堵上

重装或清理完成后，全套密码重新设一遍，补丁打齐，关掉 SSH 密码登录换密钥，fail2ban 装上，宝塔面板改端口、改安全入口、开启面板 SSL。具体的阶段清单可以对照服务器初始加固那篇逐项执行。

腾佑科技是十几年的老牌IDC服务商，提供服务器租用托管，提供机柜租用等。了解更多详情咨询我们，为您提供更为详细的解决方案。