答案是：先断链、再留痕、查根源、稳恢复。即第一时间切断攻击链路，完整保全原始证据，分层定位入侵入口，修复后验证闭环确保无后门、数据未污染、服务安全恢复。
服务器应急响应不是等出事再翻手册，而是靠一套清晰、可执行的动作链快速控场。核心就四件事：先断链、再留痕、查根源、稳恢复。
第一时间切断攻击链路
发现异常（比如CPU飙到95%、SSH登录失败后突然成功、流量突增）不要犹豫，立刻做三件事：
- 禁用网卡或在云平台关闭安全组入向规则，但别直接拔线——先抓几秒网络快照：
tcpdump -i eth0 -w pre_isolate.pcap host - 冻结高危操作权限：停掉
sshd服务、临时清空/root/.ssh/authorized_keys，防止后门持续接入 - 暂停对外服务，但别关机——内存里可能有正在运行的恶意进程，关机就丢了关键线索
完整保全原始证据
很多团队一慌就rm -rf /var/log，结果溯源时两手空空。真正要保留的是：
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 系统日志：
/var/log/auth.log、/var/log/syslog、/var/log/messages，用cp而非mv备份，带时间戳 - 进程快照：
ps auxf > ps_snapshot.txt、ls -la /proc/*/exe 2>/dev/null | grep -v "No such"找伪装进程 - 连接状态：
netstat -tulnp > netstat_snapshot.txt、ss -tunap > ss_snapshot.txt - 计划任务和启动项：
crontab -l -u root、systemctl list-unit-files --state=enabled
分层定位入侵入口
别只盯着“谁登进来了”，要从四个层面交叉验证：
-
登录层：用
last -F看成功登录时间/IP，lastb统计爆破次数，比对/var/log/btmp二进制记录更准 -
文件层：检查
/tmp、/dev/shm、/var/tmp下有没有非系统命名的可执行文件，用find / -type f -mtime -1 -perm -u+x 2>/dev/null扫最近创建的执行体 -
网络层：用
lsof -i -P -n查监听端口，特别注意UDP和非常规端口（如53、123）是否被用于隐蔽信道 -
内核层：运行
dmesg | tail -50看是否有模块加载异常，lsmod | grep -E "(rootkit|hide|knock)"筛可疑模块
修复后必须验证闭环
打补丁、删木马只是开始，真正的收尾是确认没留后门、数据没被污染：
- 用
sha256sum比对关键系统文件（如/bin/ls、/usr/bin/ssh）哈希值，对照官方镜像或可信备份 - 重置所有账户密码，包括数据库用户、应用配置里的密钥，不能只改root
- 检查DNS设置、
/etc/hosts、resolv.conf是否被篡改，避免后续请求被劫持 - 恢复业务前，在隔离环境跑一次真实流量回放，监控是否有异常外连或进程复活
