Linux云服务器一旦暴露公网，就时刻面临爆破、漏洞利用和恶意脚本植入的风险。当发现服务器出现不明进程、异常网络流量或资源占用飙升时，必须立刻按系统化流程排查，而不是盲目重启或简单杀进程。下面从几个核心维度详细说明入侵排查与清理的具体做法。
一、确认入侵现象与隔离风险
排查前先确认服务器是否真的被入侵，而非自身程序故障。常见迹象包括：CPU或内存长期异常偏高、出现未知的系统用户、家目录下多出不明脚本、业务端口之外有可疑外连。此时应优先在云控制台做安全组隔离，仅放通运维IP，避免攻击者继续横向移动或下载更多恶意模块。
不要急于断电或重启，因为重启会丢失内存中的网络连接状态和部分临时文件，不利于溯源。正确做法是保持系统运行，通过命令行采集当前证据，再逐步清理。如果业务允许，可先对系统盘做快照，为后续 forensic 分析留底。
二、网络连接与进程定位
使用ss或netstat查看所有TCP/UDP连接，重点找 ESTABLISHED 状态中目的IP非业务地址的链接。很多木马会反向连接控制端，这类外连端口通常较高且持续重连。配合lsof -p能反查进程打开的文件与套接字。
找到可疑PID后，进入/proc/<pid>/目录，查看exe软链确定程序真实路径，读取cmdline看启动参数。某些恶意程序会伪装成sshd或kworker，此时要对比正常系统的进程树。下面示例展示如何列出异常外连并定位进程：
# 查看所有外连，排除本地监听
ss -antup | grep ESTAB | awk '{print $1,$5,$7}'
# 假设发现PID为23345的可疑进程
ls -l /proc/23345/exe
cat /proc/23345/cmdline | tr ' ' ' '
readlink /proc/23345/cwd
如果exe指向/tmp、/dev/shm或隐藏目录，基本可判定为恶意载荷。记录其文件路径与hash，便于后续批量清理同类样本。
三、检查账户与认证文件
攻击者常通过植入SSH公钥实现持久化。检查/etc/passwd和/etc/shadow中是否有未知uid为0的账户，以及普通用户家目录下.ssh/authorized_keys是否被追加内容。同时审视/etc/sudoers是否被人改过。
用以下命令快速列出特权账户和近期修改的认证文件：
# 列出uid为0的账户
awk -F: '$3==0 {print $1}' /etc/passwd
# 检查各用户ssh公钥
for u in $(ls /home); do echo "== $u =="; cat /home/$u/.ssh/authorized_keys 2>/dev/null; done
# 查看ssh相关文件改动时间
stat /etc/ssh/sshd_config ~/.ssh/authorized_keys
发现非法公钥应立即移除，并修改相关用户密码。若攻击者已留下后门账户，用userdel -r彻底删除并核查有无残留cron任务。
四、定时任务与服务持久化排查
恶意程序为抵抗重启，多写入crontab、systemd service或rc.local。需遍历/var/spool/cron/、/etc/cron.*以及systemctl list-unit-files中的异常项。特别注意下载执行一句话脚本的定时任务。
示例清理与检查方式如下：
# 列出所有用户的cron ls -la /var/spool/cron/ cat /etc/crontab ls -la /etc/cron.d/ # 查看开启自启的服务 systemctl list-unit-files --type=service | grep enabled
对不确定的service文件，用cat /etc/systemd/system/xxx.service查看ExecStart指向。确认恶意后执行systemctl disable并删除单元文件，随后systemctl daemon-reload。
五、日志分析与溯源
通过/var/log/auth.log或/var/log/secure排查爆破成功记录，搜索Accepted password字段定位最早入侵时间。结合history与~/.bash_history时间戳，还原攻击者操作链路。
若日志被清，可借助journalctl或文件inode变更时间辅助判断。建议后续部署logwatch或远程syslog，防止本地日志被篡改导致无法溯源。
六、清理与加固
结束进程前先cp样本到隔离区，再kill -9并rm文件。修复被改的系统命令（如ps、top被替换）最好从同版本干净系统拷贝。最后更新所有软件包，修改SSH端口并禁用密码登录。
完成清理后观察二十四小时，确认无异常外连与进程再生。常态化启用云厂商主机安全Agent，能大幅缩短入侵发现窗口。只有把排查动作沉淀为标准手册，才能在真实攻防中从容应对。