要判断服务器是否遭受攻击,核心上文归纳在于多维度的异常检测与综合研判，管理员不能仅依赖单一指标，而必须通过系统资源监控、日志深度审计、网络连接状态分析以及文件完整性校验这四个核心维度进行交叉验证，当服务器出现CPU或内存无故飙升、带宽异常占用、系统日志出现大量失败记录或未知进程建立可疑连接时，通常意味着服务器已经处于被攻击或被入侵的状态，建立基于基线的监控体系是发现攻击的最有效手段。
系统资源异常分析：攻击的直接生理反应
服务器资源的使用情况是攻击行为最直观的“生理反应”，攻击者在进行暴力破解、拒绝服务攻击或植入挖矿病毒时，必然会消耗系统资源。
CPU与内存负载异常
通过top、htop或vmstat等命令查看实时资源占用，如果发现某个非业务核心进程（如随机命名的进程）持续占用100%的CPU或大量内存，这极有可能是服务器被植入了挖矿木马或僵尸网络程序，如果系统负载（Load Average）在业务低峰期依然居高不下，且无法用常规业务流量解释，说明后台可能正在运行高强度的恶意计算任务。
磁盘I/O与读写异常
使用iostat或iotop监控磁盘读写，攻击者在窃取数据时会产生大量的读取操作，而在写入日志或进行加密（如勒索病毒）时会产生大量写入操作，如果发现磁盘I/O使用率异常飙升，且读写源并非数据库或正常业务程序，需立即警惕数据正在被外传或篡改。
网络带宽流量异常
带宽是DDoS攻击最明显的特征，通过iftop或nload查看网络流量，如果入站流量瞬间达到带宽上限，通常是UDP Flood或SYN Flood等流量型攻击；如果出站流量异常巨大，则可能是服务器被作为肉鸡对外发起攻击，或者正在向黑客端回传敏感数据。
系统与安全日志审计：攻击留下的数字指纹
日志是追溯攻击路径的“黑匣子”，黑客的每一次试探、提权和操作都会在日志中留下痕迹，深入分析日志是确认攻击性质的关键。
登录日志审计
重点检查Linux下的/var/log/secure、/var/log/auth.log或Windows下的安全日志，如果发现短时间内出现大量针对root或administrator账户的失败登录记录，这表明正在遭受SSH或RDP暴力破解攻击，更为危险的是，如果日志中出现来自异常地理位置（如境外IP）的成功登录记录，且该时间点并非管理员操作时间，则基本可以判定服务器已被攻陷。
Web应用日志分析
对于Web服务器，需分析Nginx或Apache的access.log，攻击者通常会通过SQL注入、XSS跨站脚本或文件包含漏洞进行渗透，如果在日志中发现大量包含特殊字符（如单引号、union select、script标签）的URL请求，或者针对特定敏感接口（如/admin、/phpmyadmin）的高频扫描请求，说明正在遭受Web应用攻击，特别需要关注HTTP状态码为200（成功）但URL异常的请求，这往往意味着漏洞利用成功。
系统关键日志异常
检查/var/log/messages或/var/log/syslog，寻找内核级异常或系统服务重启记录，攻击者为了清除痕迹，往往会尝试修改或删除系统日志，如果发现日志出现断档、时间戳不连续或日志文件大小异常归零，这本身就是一种高级入侵的强烈信号。
网络连接与进程排查：潜伏者的通信链路
攻击者入侵后,通常会建立后门以便长期控制，检查网络连接和进程可以发现这些隐蔽的通道。
可疑网络连接检测
使用netstat -antlp或ss -antlp命令查看当前所有网络连接，重点关注处于LISTEN（监听）状态的非常规端口，以及已建立的连接（ESTABLISHED）指向未知外部IP的情况，正常业务通常只开放80、443、22等特定端口，如果发现高位随机端口正在与境外IP保持长连接，这通常是反弹Shell、木马C&C通信或数据外泄的通道。
异常进程与父子关系
通过ps -ef或pstree查看进程树，攻击者经常通过替换或伪装系统进程（如将/bin/sshd替换为后门程序）来隐藏，如果发现进程的启动路径不在标准目录下（如在/tmp或/var/tmp下启动），或者某个系统进程的父进程异常（例如init进程启动了奇怪的shell），这表明进程链已被劫持。
文件完整性与后门检测：最终的实锤证据
攻击者为了维持权限,会修改系统文件或上传Webshell，文件完整性检查是确认入侵的最终实锤。
系统文件完整性校验
使用rpm -Va（CentOS/RHEL）或dpkg --verify（Debian/Ubuntu）检查系统关键文件是否被篡改，如果输出显示文件大小（S）、模式（M）或校验和（5）发生变化，说明系统二进制文件已被替换，检查/etc/passwd和/etc/shadow文件，如果发现新增了UID为0的超级用户或未知用户，这是攻击者创建后门账户的确凿证据。
Web目录与Webshell查杀
对于Web服务器，需检查网站根目录下的文件变动，攻击者常会上传包含恶意代码的图片文件或伪装成正常脚本的Webshell，使用专业工具（如D盾、河马Webshell查杀）扫描代码，寻找包含eval()、base64_decode()、assert()、system()等危险函数的文件，如果发现最近修改时间异常的图片文件或双扩展名文件（如.jpg.php），这几乎就是Web后门。
专业解决方案与防御体系构建
面对复杂的攻击手段,仅靠人工排查往往滞后，建立自动化的防御体系至关重要。
部署主机入侵检测系统（HIDS）
安装如OSQuery、Wazuh或云厂商的安骑士等HIDS工具，这些工具能实时监控文件变动、进程行为和网络连接，一旦发现偏离基线的行为立即报警，将事后排查转变为事中阻断。
利用态势感知与日志分析平台
对于拥有多台服务器的环境，建议搭建ELK（Elasticsearch, Logstash, Kibana）或使用SIEM（安全信息和事件管理）系统，通过关联分析不同服务器的日志，可以识别出分布式的扫描和攻击行为，从宏观视角掌握安全态势。
强化基线安全配置
遵循最小权限原则，关闭不必要的端口和服务，禁止root直接远程登录，强制使用密钥认证代替密码，并定期更新系统内核和应用软件补丁，加固是防止攻击发生的最根本手段。
相关问答
Q1：如何区分服务器是遭受了DDoS攻击还是CC攻击？
A： DDoS攻击（分布式拒绝服务）主要针对网络带宽和协议栈，特征是流量带宽瞬间被占满，大量伪造的IP地址发送小包请求，导致服务器网络瘫痪甚至丢包；而CC攻击（Challenge Collapsar）主要针对应用层，特征是带宽占用可能不高，但服务器CPU或连接数飙升，攻击者模拟大量用户不断访问数据库消耗大的页面（如登录页、搜索页），导致Web服务响应缓慢或崩溃，通过netstat统计连接状态，DDoS常伴随大量SYN_RECEIVED，而CC攻击则会有大量ESTABLISHED连接指向同一URL。
Q2：发现服务器被攻击后，应急响应的第一步应该做什么？
A： 应急响应的第一步应当是断网或隔离受影响的服务器，而不是立即重启或开始查杀病毒，断网可以阻断攻击者的控制通道，防止数据继续外泄或勒索病毒加密更多文件，同时也防止服务器作为跳板攻击内网其他设备，在隔离状态下，再进行内存镜像取证和日志备份，最后才开始清理后门和恢复业务。
