新手排查非法ip路由策略和端口镜像，关键是抓住异常流量走向与非授权配置残留：一、用ip route show或route print查恶意静态路由；二、用ss/netstat查异常监听端口，iptables/netsh查转发规则；三、用crontab/systemctl/任务计划程序查持久化篡改；四、结合dns、hosts和内网连接验证关联证据链。

新手排查服务器中被非法篡改的IP路由策略和网络端口镜像，关键不是“全扫一遍”，而是抓住两个核心线索：**异常流量走向**和**非授权配置残留**。这两类篡改通常不暴露在常规服务日志里，但会在系统底层留下可验证的痕迹。下面分四块说清楚怎么动手。

一、快速验证当前路由表是否被恶意重定向

攻击者常通过添加静态路由把特定网段（如银行、管理后台）流量劫持到恶意网关或本机监听端口。

• Linux执行：ip route show 或 route -n，重点检查是否有非管理员添加的via 非默认网关IP条目，尤其是目标为0.0.0.0/0、10.0.0.0/8、192.168.0.0/16等内网段却指向陌生下一跳的记录
• Windows执行：route print，关注“活动路由”部分，比对默认网关是否与ipconfig /all中显示的一致；若发现多条“0.0.0.0”路由且跃点数异常低，极可能被注入
• 临时验证法：用traceroute -n 目标IP（Linux）或tracert -d 目标IP（Windows），看第三跳之后是否突然跳转到非预期设备（如跳到172.16.0.100这种非网关地址）

二、检查是否启用了隐蔽端口镜像（SPAN/RSPAN）或流量转发

端口镜像本身是运维功能，但被植入后常用于窃取明文凭证或API密钥。新手不用懂交换机命令，先查服务器自身是否成了“镜像接收端”或“转发中继”。

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

• 查监听端口是否异常开放：ss -tulnp | grep ':'（Linux）或netstat -ano | findstr "LISTEN"（Windows），重点关注高危端口如 20000–65535 区间是否有未知进程绑定，特别是非root/non-admin 权限启动的监听
• 查iptables/nftables规则：sudo iptables -t nat -L -n -v 和 sudo iptables -t mangle -L -n -v，寻找含REDIRECT、DNAT、TPROXY关键字且目标非本机服务的规则（例如把443重定向到127.0.0.1:8080但没运行反向代理）
• 查Windows高级防火墙转发：netsh interface portproxy show all，若输出非空且映射目标不是你主动配置的服务（如把3389转到10.10.10.5），立即标记为可疑

三、定位谁在改路由或加镜像——看计划任务与启动项

手动改一次容易恢复，但自动反复改说明有持久化机制。新手优先查最易发现的两类载体：

• Linux下执行：crontab -l && ls /etc/cron.*/* 2>/dev/null | xargs -r grep -l "ip route\|iptables\|portproxy"，任何匹配结果都代表定时篡改
• Windows下打开任务计划程序，筛选“状态=已启用”+“触发器=登录时/开机时/周期性”，重点看操作栏是否调用route.exe、netsh interface portproxy、PowerShell -c Add-NetRoute等命令
• 额外检查：systemctl list-unit-files --state=enabled | grep -i "net\|route\|mirror"（Linux），以及services.msc中名称含“filter”“mirror”“redirect”的服务

四、关联证据链：结合DNS、hosts与网络连接反推

路由和镜像很少单独出现。若发现异常，立刻同步验证三个关联点：

• /etc/resolv.conf（Linux）或ipconfig /all（Windows）中DNS服务器是否变成非内网/非ISP提供的地址（如103.104.227.12），这是劫持+镜像组合技的常见前置
• cat /etc/hosts或notepad C:\Windows\System32\drivers\etc\hosts，查看是否有将内部网关域名（如gateway.local、router.lan）解析到攻击者控制IP的条目——这会让后续路由指令发错对象
• 用lsof -i @10.0.0.0/8（Linux）或netstat -ano | findstr "10\.0\.0\." （Windows）筛出所有连内网段的连接，再用ps -p PID -o comm=或tasklist /fi "pid eq PID"确认进程名，凡非nginx/apache/sshd/winlogon等标准服务，一律深入查其路径和启动参数