服务器被攻击怎么办？5步应急处理流程

📌 先看结论

核心结论：被攻击后按【断网止损→备份证据→排查清理→恢复验证→安全加固】五步处理，顺序不能乱。先切断攻击面，再查入侵路径，最后才谈恢复。云服务器（阿里云 ECS 等）自带安全组、快照与云监控，日常开好这三样，被攻击时能少丢一半数据。

第1步 先止损：切断攻击面

1. 立即隔离：在云厂商控制台把安全组入方向改为只允许自己的 IP，或直接停止实例（有快照前提下），阻断攻击继续。
2. 改密码与密钥：立即更换 root/管理员密码、SSH 密钥、数据库密码；检查是否有新建的未知账号并删除。
3. 踢掉异常会话：执行 last 查看登录记录，who 看在线用户，强制下线异常会话。

第2-3步 查日志定位 + 清理后门

1. 定位入口：依次看系统日志（/var/log/secure、Windows 事件查看器）、Web 访问日志（Nginx/Apache access log）、云厂商安全告警，找出首次入侵时间与路径。
2. 常见入口优先查：SSH 暴力破解、未授权的 Redis/Memcached、Web 上传漏洞、宝塔/后台弱口令、第三方组件漏洞。
3. 清后门：检查计划任务（crontab/计划任务）、开机启动项、authorized_keys 异常公钥、可疑进程与端口（netstat -anp）。确认无异常后删除后门文件。

第4-5步 恢复验证 + 安全加固

1. 恢复数据：有快照/备份的直接用攻击前时间点的快照回滚；没有备份的先保住剩余数据，再重装系统重建环境。
2. 重装优先：入侵路径不确定时，最稳妥是备份数据→重装系统→打补丁→再恢复业务，避免残留后门。
3. 加固清单：SSH 改端口+密钥登录、关闭不用的端口、安装云防火墙/DDoS 高防、开启云监控告警、重要数据开自动快照与异地备份。

云服务器安全配置建议（省钱版）

• 入门业务：安全组只开必要端口（22/443/80），SSH 用密钥不用密码，成本为零。
• 有真实流量：加 WAF 或云防火墙拦截 Web 攻击，按流量计费，比事后恢复便宜得多。
• 数据安全：ECS 快照按量计费、OSS 低频存储做备份，一套下来每月几十元就能覆盖核心数据。

🔗 延伸阅读：更多选型指南

💡 官方价格参考

❓ 常见问题