先确认入侵痕迹，再封堵路径，最后彻底清理。
✅ 官方渠道 🔥 新用户专享 🎁 免费福利先领核心结论：判断服务器是否被入侵，先看四个地方：登录记录、进程与端口、计划任务、SSH 公钥。入侵者大多通过弱口令或未授权服务进入，然后留后门保证长期控制。排查出来后，最彻底的做法是备份数据+重装系统，而不是只删文件。
/var/log/secure（Failed/Accepted 记录）；Windows 看事件查看器-安全日志-4625/4624。重点找非本人时段的成功登录。ps aux 找陌生进程名（xmrig、kdevtmpfsi 等挖矿特征），netstat -anp 找异常外连端口。crontab -l、/etc/cron.*、Windows 计划任务，看有没有下载/执行脚本的任务。~/.ssh/authorized_keys，有陌生公钥=已经被留后门，立即删除并排查来源。| 入口 | 特征 | 封堵方法 |
|---|---|---|
| SSH 弱口令 | 大量 Failed password | 改密钥登录、换端口、禁 root 直登 |
| Redis/Memcached 未授权 | 6379 端口外网开放 | 绑定内网、设密码、安全组封端口 |
| Web 上传漏洞 | 网站目录出现 webshell | 更新程序、删上传目录执行权限 |
| 面板/后台弱口令 | 后台被登录 | 强密码+双因素+后台限 IP |
看硬证据：非本人登录记录、陌生外连进程、新增计划任务、陌生 SSH 公钥、网站目录出现 webshell。单独一条可能是误报，两条以上同时出现基本可以确认。
建议重装。入侵路径不确定时，只删文件很可能清不干净（rootkit 会隐藏自身）；重装+重建环境是最省时间的彻底方案。
有风险。入侵者能读系统就可能拖走数据库。被入侵后除了恢复，要排查数据是否外传（看异常外连流量），必要时通知相关用户改密码。